[Synt World / Audyt bezpieczeństwa](https://synt.world/pl/)

# Od wyniku do poprawki.

Rzeczywista ocena klienta, zanonimizowana do publikacji. Pokazuje sposób opisywania wyników i poprawek.

## Wynik, który pozwala działać.

To rzeczywista, zanonimizowana ocena klienta. Identyfikatory i wrażliwe dowody zostały ukryte, a niektóre wyniki usunięte dla zachowania poufności.

[Pobierz przykładowy raport (PDF)](https://synt.world/assets/synt-world-security-assessment-sample.pdf)

31 stron · Po angielsku · Zanonimizowany

Ustalenie z raportu CRIT-01 Krytyczne · CVSS 9.3

### Błędna konfiguracja CORS z poświadczeniami

Aplikacja webowa / Kontrola dostępu · CWE-942

#### Obca strona mogłaby odczytać dane Twoich użytkowników.

Serwer odzwierciedla dowolne źródło żądania (Origin) i zezwala na poświadczenia. Jeśli zalogowany użytkownik otworzy złośliwą stronę, może ona odczytać wrażliwe odpowiedzi wymagające uwierzytelnienia, o ile przeglądarka wyśle poświadczenia użytkownika, a endpoint przyjmie żądanie.

#### Dowolne źródło odzwierciedlone, poświadczenia dozwolone.

Raport dokumentuje odpowiedzi, które zwracają źródło żądania w nagłówku Access-Control-Allow-Origin wraz z Access-Control-Allow-Credentials: true.

Odpowiedzi klienta i dowody odtworzenia ukryto w pliku PDF. Strona podsumowuje ocenę i nie wykonuje testu na żywo.

Same nagłówki nie dowodzą wykorzystania: o tym, czy dane można odczytać, decydują polityka ciasteczek, uwierzytelnianie endpointu i tokeny żądań, a zredagowany (zaczerniony) przykład tego nie pokazuje.

#### Zezwalaj tylko na własne źródła.

Zwracaj Access-Control-Allow-Origin tylko dla jawnej listy własnych domen i usuń Access-Control-Allow-Credentials, chyba że potrzebuje go Twój własny frontend. Sprawdź wtyczki, które same dodają nagłówki CORS. Następnie powtórz żądanie z dowolnym Origin: odpowiedź nie może zawierać Access-Control-Allow-Origin.

## W Twoim raporcie

### Zakres i kontekst

Badane systemy, poziomy dostępu, okres oceny i ograniczenia.

### Wyniki według priorytetów

Potwierdzone podatności, zagrożenie i wpływ biznesowy lub techniczny.

### Dowody i poprawki

Warunki odtworzenia, dowody i zalecane działania.

## O tym przykładzie

Raport ma 31 stron i obejmuje konfigurację web, TLS, DNS, pocztę i WordPress. Część wyników i dowodów usunięto. Zachowano oryginalne ID; prefiksy mogą różnić się od zaktualizowanej oceny. Wyniki liczbowe uzgodniono z dostarczonymi wektorami CVSS 3.1; ukrytych dowodów nie zweryfikowano niezależnie ponownie. Twój zakres ustalamy osobno.

## Ustalmy zakres audytu.

[Kontakt z zespołem](https://synt.world/pl/contact.html)