Od wyniku
do poprawki.
Rzeczywista ocena klienta, zanonimizowana do publikacji. Pokazuje sposób opisywania wyników i poprawek.
Wynik, który
pozwala działać.
To rzeczywista, zanonimizowana ocena klienta. Identyfikatory i wrażliwe dowody zostały ukryte, a niektóre wyniki usunięte dla zachowania poufności.
Pobierz przykładowy raport (PDF)
31 stron · Po angielsku · Zanonimizowany
Błędna konfiguracja CORS z poświadczeniami
Aplikacja webowa / Kontrola dostępu · CWE-942
Obca strona mogłaby odczytać dane Twoich użytkowników.
Serwer odzwierciedla dowolne źródło żądania (Origin) i zezwala na poświadczenia. Jeśli zalogowany użytkownik otworzy złośliwą stronę, może ona odczytać wrażliwe odpowiedzi wymagające uwierzytelnienia, o ile przeglądarka wyśle poświadczenia użytkownika, a endpoint przyjmie żądanie.
Dowolne źródło odzwierciedlone, poświadczenia dozwolone.
Raport dokumentuje odpowiedzi, które zwracają źródło żądania w nagłówku Access-Control-Allow-Origin wraz z Access-Control-Allow-Credentials: true.
Odpowiedzi klienta i dowody odtworzenia ukryto w pliku PDF. Strona podsumowuje ocenę i nie wykonuje testu na żywo.
Same nagłówki nie dowodzą wykorzystania: o tym, czy dane można odczytać, decydują polityka ciasteczek, uwierzytelnianie endpointu i tokeny żądań, a zredagowany (zaczerniony) przykład tego nie pokazuje.
Zezwalaj tylko na własne źródła.
Zwracaj Access-Control-Allow-Origin tylko dla jawnej listy własnych domen i usuń Access-Control-Allow-Credentials, chyba że potrzebuje go Twój własny frontend. Sprawdź wtyczki, które same dodają nagłówki CORS. Następnie powtórz żądanie z dowolnym Origin: odpowiedź nie może zawierać Access-Control-Allow-Origin.
W Twoim raporcie
Zakres i kontekst
Badane systemy, poziomy dostępu, okres oceny i ograniczenia.
Wyniki według priorytetów
Potwierdzone podatności, zagrożenie i wpływ biznesowy lub techniczny.
Dowody i poprawki
Warunki odtworzenia, dowody i zalecane działania.
O tym przykładzie
Raport ma 31 stron i obejmuje konfigurację web, TLS, DNS, pocztę i WordPress. Część wyników i dowodów usunięto. Zachowano oryginalne ID; prefiksy mogą różnić się od zaktualizowanej oceny. Wyniki liczbowe uzgodniono z dostarczonymi wektorami CVSS 3.1; ukrytych dowodów nie zweryfikowano niezależnie ponownie. Twój zakres ustalamy osobno.