¿Por qué los navegadores permiten que JavaScript de páginas web externas se conecten a localhost?

Bueno, localhost en sí mismo es solo un nombre de host, otros nombres de host podrían usarse de manera similar para configurar un registro A para 127.0.0.1 . El verdadero problema potencial es que los navegadores pueden manipularse para cargar contenido de la red local, como 127.0.0.1 ( localhost ), 192.168.1.1 (enrutadores), etc.

Los navegadores tienen una función implementada para limitar globalmente el acceso a través de hosts, llamado Igual -Política de origen , sin embargo, Los ataques CSRF contra sistemas mal diseñados son todavía posibles .

Suponiendo que los desarrolladores de aplicaciones son lo suficientemente competentes como para no asumir ciegamente que los datos que se envían son seguros, y validarlos correctamente, deberían estar bien. El problema real es que los desarrolladores que no entienden esa seguridad web básica son demasiado comunes. Por esta razón, recientemente hemos visto un aumento en los ataques contra los enrutadores de las personas, donde los ataques CSRF pueden reconfigurar el enrutador sin la interacción del usuario, porque asume que cualquier tráfico local es seguro.

En cuanto al bloqueo por fuera de la derecha de las solicitudes de red local desde páginas no locales en el navegador, no tengo conocimiento de que algún navegador esté haciendo esto actualmente, pero es algo la característica ABE de NoScript lo hace de manera predeterminada. Nunca he notado ningún inconveniente real al usarlo, por lo que no puedo especular sobre por qué los navegadores aún no lo hacen.

Y los servidores conectados a Internet controlan la banca en línea, los registros médicos y los reactores nucleares (OK, solo bromeo con respecto al último *)

Localhost es solo otro nombre de host.

Si te preocupa eso y tienes la capacidad de ejecutar servidores en localhost, debes saber cómo aislar el tráfico.

*) pero quién sabe ...?