Vom Befund
zur Behebung.
Ein echter Kundenbericht, für die Veröffentlichung anonymisiert. Er zeigt unsere Dokumentation und Empfehlungen.
Ein Befund,
mit dem Sie handeln können.
Dies ist ein echter, anonymisierter Kundenbericht. Kundenkennungen und vertrauliche Belege wurden geschwärzt; einige Befunde wurden zum Schutz der Vertraulichkeit entfernt.
Beispielbericht herunterladen (PDF)
31 Seiten · Englisch · Anonymisiert
CORS-Fehlkonfiguration mit Anmeldedaten
Webanwendung / Zugriffskontrolle · CWE-942
Eine fremde Website könnte Daten Ihrer Nutzer lesen.
Der Server spiegelt jeden anfragenden Origin und erlaubt Anmeldedaten. Öffnet ein angemeldeter Nutzer eine bösartige Website, kann diese sensible authentifizierte Antworten lesen, sofern der Browser die Anmeldedaten mitsendet und der Endpunkt die Anfrage akzeptiert.
Jeder Origin gespiegelt, Anmeldedaten erlaubt.
Der Bericht dokumentiert Antworten, die den anfragenden Origin im Header Access-Control-Allow-Origin zusammen mit Access-Control-Allow-Credentials: true zurückgeben.
Kundenspezifische Antworten und Reproduktionsbelege sind im PDF geschwärzt. Diese Seite fasst den Bericht zusammen; sie führt keinen Live-Test durch.
Header allein beweisen keine Ausnutzung: Cookie-Richtlinie, Authentifizierung des Endpunkts und Anfrage-Tokens entscheiden, ob Daten gelesen werden können, und das geschwärzte Beispiel weist diese nicht nach.
Nur eigene Origins zulassen.
Geben Sie Access-Control-Allow-Origin nur für eine explizite Liste Ihrer eigenen Domains zurück und entfernen Sie Access-Control-Allow-Credentials, sofern Ihr eigenes Frontend es nicht benötigt. Prüfen Sie Plugins, die selbst CORS-Header setzen. Wiederholen Sie dann die Anfrage mit einem beliebigen Origin: Die Antwort darf kein Access-Control-Allow-Origin enthalten.
In Ihrem Bericht
Prüfumfang und Kontext
Geprüfte Systeme, Zugriffsrechte, Prüfzeitraum und Einschränkungen.
Priorisierte Befunde
Bestätigte Schwachstellen, Schweregrad und geschäftliche oder technische Auswirkungen.
Belege und Behebung
Voraussetzungen zur Reproduktion, Belege und empfohlene Maßnahmen.
Über dieses Beispiel
Der 31-seitige Bericht umfasst eine externe Prüfung von Webkonfiguration, TLS, DNS, E-Mail-Schutz und WordPress. Einige Befunde und Belege wurden entfernt. Original-IDs bleiben erhalten; ihre Präfixe können von der überarbeiteten Einstufung abweichen. Punktzahlen wurden mit den gelieferten CVSS-3.1-Vektoren abgeglichen; geschwärzte Belege wurden nicht unabhängig nachgeprüft. Ihr Prüfumfang wird separat vereinbart.