# V5325. OWASP. Setting the value of the 'Access-Control-Allow-Origin' header to '*' is potentially insecure.

Анализатор обнаружил небезопасную конфигурацию Cross-origin resource sharing (CORS). Значение `*` у заголовка ответа сервера `Access-Control-Allow-Origin` позволяет веб-странице с абсолютно любого хоста получать содержимое ответов.

Если значением заголовка `Access-Control-Allow-Origin` будет `*`, веб-страницы с абсолютно любым доменом смогут получить содержимое ответа. Это небезопасно и, в зависимости от обстоятельств, чревато негативными последствиями разной степени серьёзности. Сайты злоумышленников смогут получать доступ к ресурсам вашей страницы, а при особых обстоятельствах возможно раскрытие конфиденциальной информации.

Уязвимости такого типа относятся к категории рисков OWASP Top 10 Application Security Risks 2021:

- A5:2021-Security Misconfiguration.

Примеры небезопасной конфигурации:

    @CrossOrigin                 // <=
    @GetMapping("/user")
    public User getUser(....) {
      // ....
    }

    @CrossOrigin(origins = "*")  // <=
    @GetMapping("/user")
    public User getUser(....) {
      // ....
    }

Исправленный вариант:

    @CrossOrigin(origins = "https://allowed.com")  // <=
    @GetMapping("/getUser")
    public User getUser(....) {
        // ....
    }

Выявляемые диагностикой ошибки классифицируются согласно ГОСТ Р 71207–2024 как критические и относятся к типу: Ошибки некорректного использования системных процедур и интерфейсов, связанных с обеспечением информационной безопасности (шифрования, разграничения доступа и пр.).

Данная диагностика классифицируется как:

CWE-346 CWE-942