プレイヤーのiframeがけしからん

（一応脆弱性なので本当はsyuiloさんに直接報告するべきなのですが、脆弱性としてはショボいのでここに書きます）

プレイヤーのiframeのsandbox属性がちゃんと設定されていないため、埋め込まれたページが勝手にポップアップを開いたり、外部サイトへの通信がブロックされないためにプレイヤー内に偽のログイン画面を表示させ、攻撃者のサーバーに送信したりできます。

ただ、親ページへのアクセスはCORSによって制限されていたため、セッションの乗っ取りは大丈夫そうです。