Установить значение window.location можно только при наличии уязвимости межсайтового скриптинга или с разрешения веб-сайта указывать для перехода любой URL-адрес (пример на с. 40)