[Synt World / Bezbednosna provera](https://synt.world/sr/)

# Od nalaza do rešenja.

Stvarna procena klijenta, anonimizovana za javni pregled. Pogledajte kako dokumentujemo nalaze i objašnjavamo šta treba popraviti.

## Nalaz na osnovu kog možete da reagujete.

Ovo je stvarna, anonimizovana procena klijenta. Identifikacioni podaci klijenta i osetljivi dokazi su redigovani, a neki nalazi uklonjeni radi zaštite poverljivosti.

[Preuzmite primer izveštaja (PDF)](https://synt.world/assets/synt-world-security-assessment-sample.pdf)

31 strana · Engleski · Anonimizovano

Nalaz u izveštaju CRIT-01 Kritična · CVSS 9.3

### Pogrešna CORS konfiguracija sa akreditivima

Veb aplikacija / Kontrola pristupa · CWE-942

#### Drugi veb-sajt bi mogao da pročita podatke vaših korisnika.

Server vraća bilo koje izvorište (Origin) koje pošalje zahtev i dozvoljava akreditive. Ako prijavljeni korisnik otvori zlonameran sajt, taj sajt može da pročita osetljive autentifikovane odgovore, pod uslovom da pregledač pošalje akreditive korisnika i da krajnja tačka prihvati zahtev.

#### Bilo koje izvorište se vraća, akreditivi su dozvoljeni.

Izveštaj beleži odgovore koji vraćaju izvorište zahteva u zaglavlju Access-Control-Allow-Origin zajedno sa Access-Control-Allow-Credentials: true.

Odgovori specifični za klijenta i dokazi za reprodukciju redigovani su u primeru za preuzimanje. Ova stranica sažima procenu; nije test uživo.

Sama zaglavlja ne dokazuju iskorišćavanje: da li se podaci mogu pročitati zavisi od politike kolačića, autentifikacije krajnje tačke i tokena zahteva, a redigovani primer to ne pokazuje.

#### Dozvolite samo sopstvena izvorišta.

Vraćajte Access-Control-Allow-Origin samo za izričitu listu sopstvenih domena i uklonite Access-Control-Allow-Credentials osim ako ga vaš frontend ne zahteva. Proverite dodatke koji sami dodaju CORS zaglavlja. Zatim ponovite zahtev sa proizvoljnim Origin: odgovor ne sme da sadrži Access-Control-Allow-Origin.

## Šta sadrži vaš izveštaj

### Obim i kontekst

Testirani resursi, nivoi pristupa, period procene i ograničenja.

### Nalazi prema prioritetu

Potvrđene ranjivosti, njihova ozbiljnost i poslovni ili tehnički uticaj.

### Dokazi i otklanjanje

Uslovi za reprodukciju, prateći dokazi i preporučene korektivne mere.

## O ovom primeru

Ovaj primer od 31 strane obuhvata spoljašnju procenu, uključujući veb-konfiguraciju, TLS, DNS, imejl kontrole i WordPress. Neki nalazi i dokazi uklonjeni su pre objavljivanja. Zadržane su originalne oznake nalaza, pa se njihovi prefiksi mogu razlikovati od revidirane ozbiljnosti. Numeričke ocene usklađene su sa dostavljenim CVSS 3.1 vektorima; redigovani dokazi nisu nezavisno ponovo provereni. Obim vašeg angažmana dogovara se zasebno.

## Definišimo vašu proveru.

[Kontaktirajte tim](https://synt.world/sr/contact.html)