Анализатор обнаружил небезопасную конфигурацию Cross-origin resource sharing (CORS). Значение *
у заголовка ответа сервера Access-Control-Allow-Origin
позволяет веб-странице с абсолютно любого хоста получать содержимое ответов.
Если значением заголовка Access-Control-Allow-Origin
будет *
, веб-страницы с абсолютно любым доменом смогут получить содержимое ответа. Это небезопасно и, в зависимости от обстоятельств, чревато негативными последствиями разной степени серьёзности. Сайты злоумышленников смогут получать доступ к ресурсам вашей страницы, а при особых обстоятельствах возможно раскрытие конфиденциальной информации.
Уязвимости такого типа относятся к категории рисков OWASP Top 10 Application Security Risks 2021:
Примеры небезопасной конфигурации:
@CrossOrigin // <= @GetMapping("/user") public User getUser(....) { // .... }
@CrossOrigin(origins = "*") // <= @GetMapping("/user") public User getUser(....) { // .... }
Исправленный вариант:
@CrossOrigin(origins = "https://allowed.com") // <= @GetMapping("/getUser") public User getUser(....) { // .... }
Выявляемые диагностикой ошибки классифицируются согласно ГОСТ Р 71207–2024 как критические и относятся к типу: Ошибки некорректного использования системных процедур и интерфейсов, связанных с обеспечением информационной безопасности (шифрования, разграничения доступа и пр.). |
Данная диагностика классифицируется как: