Сторонний скрипт 3dparty.js с домена www.test2.ru пытается получить доступ к cookie домена ww.test1.ru. Этот скрипт, выполняется в контексте страницы www.test1.ru.
Есть тестовая страница с домена www.test1.ru:
<html>
<head>
<script>
var h = window.location.host;
document.cookie = 'Victim=Vulnerable; domain='+h+'; path=/; max-age=3600; samesite=strict';
</script>
</head>
<body>
Hello world!
<script src="http://www.test2.ru/3dparty.js" defer></script>
</body>
</html>
Есть скрипт 3dparty.js, загружаемый со стороннего домена www.test2.ru:
console.log( 'Cookie from foreign domain: ' + document.cookie );
var script = document.createElement('script');
script.innerHTML = 'console.log( "Cookie from victim domain: " + document.cookie )';
document.body.appendChild( script );
При выполнении в консоль выводится:
Cookie from foreign domain: Victim=Vulnerable
Cookie from victim domain: Victim=Vulnerable
Я ожидал, что, как минимум, вывод первой строки будет: Cookie from foreign domain: undefined.
Как вообще здесь закрыть доступ скрипта 3dparty.js для cookie с домена www.test1.ru? 
Средний
