Если веб-приложение передаёт access token через
postMessage и при этом не ограничивает origin, а использует подстановку (*), — это может привести к краже токена.В таком случае ты можешь перехватить сообщение и докрутить до account takeover. Обращай внимание, если в
postMessage стоит * вместо доверенного домена.