Od nalaza
do rešenja.
Stvarna procena klijenta, anonimizovana za javni pregled. Pogledajte kako dokumentujemo nalaze i objašnjavamo šta treba popraviti.
Nalaz na osnovu kog
možete da reagujete.
Ovo je stvarna, anonimizovana procena klijenta. Identifikacioni podaci klijenta i osetljivi dokazi su redigovani, a neki nalazi uklonjeni radi zaštite poverljivosti.
Preuzmite primer izveštaja (PDF)
31 strana · Engleski · Anonimizovano
Pogrešna CORS konfiguracija sa akreditivima
Veb aplikacija / Kontrola pristupa · CWE-942
Drugi veb-sajt bi mogao da pročita podatke vaših korisnika.
Server vraća bilo koje izvorište (Origin) koje pošalje zahtev i dozvoljava akreditive. Ako prijavljeni korisnik otvori zlonameran sajt, taj sajt može da pročita osetljive autentifikovane odgovore, pod uslovom da pregledač pošalje akreditive korisnika i da krajnja tačka prihvati zahtev.
Bilo koje izvorište se vraća, akreditivi su dozvoljeni.
Izveštaj beleži odgovore koji vraćaju izvorište zahteva u zaglavlju Access-Control-Allow-Origin zajedno sa Access-Control-Allow-Credentials: true.
Odgovori specifični za klijenta i dokazi za reprodukciju redigovani su u primeru za preuzimanje. Ova stranica sažima procenu; nije test uživo.
Sama zaglavlja ne dokazuju iskorišćavanje: da li se podaci mogu pročitati zavisi od politike kolačića, autentifikacije krajnje tačke i tokena zahteva, a redigovani primer to ne pokazuje.
Dozvolite samo sopstvena izvorišta.
Vraćajte Access-Control-Allow-Origin samo za izričitu listu sopstvenih domena i uklonite Access-Control-Allow-Credentials osim ako ga vaš frontend ne zahteva. Proverite dodatke koji sami dodaju CORS zaglavlja. Zatim ponovite zahtev sa proizvoljnim Origin: odgovor ne sme da sadrži Access-Control-Allow-Origin.
Šta sadrži vaš izveštaj
Obim i kontekst
Testirani resursi, nivoi pristupa, period procene i ograničenja.
Nalazi prema prioritetu
Potvrđene ranjivosti, njihova ozbiljnost i poslovni ili tehnički uticaj.
Dokazi i otklanjanje
Uslovi za reprodukciju, prateći dokazi i preporučene korektivne mere.
O ovom primeru
Ovaj primer od 31 strane obuhvata spoljašnju procenu, uključujući veb-konfiguraciju, TLS, DNS, imejl kontrole i WordPress. Neki nalazi i dokazi uklonjeni su pre objavljivanja. Zadržane su originalne oznake nalaza, pa se njihovi prefiksi mogu razlikovati od revidirane ozbiljnosti. Numeričke ocene usklađene su sa dostavljenim CVSS 3.1 vektorima; redigovani dokazi nisu nezavisno ponovo provereni. Obim vašeg angažmana dogovara se zasebno.