Bir bulgudan
çözüme.
Herkesin inceleyebilmesi için anonimleştirilmiş gerçek bir müşteri değerlendirmesi. Bulguları nasıl belgelediğimizi ve çözümü nasıl açıkladığımızı görün.
Harekete geçmenizi
sağlayan bir bulgu.
Bu, gerçek bir müşteriye ait anonimleştirilmiş bir değerlendirmedir. Müşteri tanımlayıcıları ve hassas kanıtlar gizlenmiş, gizliliği korumak için bazı bulgular çıkarılmıştır.
31 sayfa · İngilizce · Anonimleştirilmiş
Kimlik bilgileriyle CORS yanlış yapılandırması
Web uygulaması / Erişim kontrolü · CWE-942
Başka bir web sitesi kullanıcılarınızın verilerini okuyabilir.
Sunucu, istek yapan her kaynağı (Origin) geri yansıtır ve kimlik bilgilerine izin verir. Oturum açmış bir kullanıcı kötü amaçlı bir siteyi açarsa, tarayıcı kullanıcının kimlik bilgilerini gönderdiği ve uç nokta isteği kabul ettiği sürece bu site kimlik doğrulamalı hassas yanıtları okuyabilir.
Her kaynak geri yansıtılıyor, kimlik bilgilerine izin veriliyor.
Rapor, istek yapan kaynağı Access-Control-Allow-Origin başlığında Access-Control-Allow-Credentials: true ile birlikte döndüren yanıtları kaydeder.
Müşteriye özgü yanıtlar ve yeniden üretim kanıtları indirilebilir örnekte gizlenmiştir. Bu sayfa değerlendirmeyi özetler; canlı bir test değildir.
Başlıklar tek başına istismarı kanıtlamaz: verilerin okunup okunamayacağını çerez politikası, uç nokta kimlik doğrulaması ve istek belirteçleri belirler; karartılmış örnek bunları göstermez.
Yalnızca kendi kaynaklarınıza izin verin.
Access-Control-Allow-Origin başlığını yalnızca kendi alan adlarınızdan oluşan açık bir izin listesi için döndürün ve kendi ön yüzünüz gerektirmiyorsa Access-Control-Allow-Credentials başlığını kaldırın. CORS başlıklarını kendiliğinden ekleyen eklentileri kontrol edin. Ardından isteği rastgele bir Origin ile tekrarlayın: yanıt Access-Control-Allow-Origin içermemelidir.
Raporunuzun içeriği
Kapsam ve bağlam
Test edilen varlıklar, erişim seviyeleri, değerlendirme dönemi ve sınırlamalar.
Önceliklendirilmiş bulgular
Doğrulanmış açıklar, önem dereceleri ve ticari veya teknik etkileri.
Kanıt ve giderme
Yeniden üretim koşulları, destekleyici kanıtlar ve önerilen düzeltici işlemler.
Bu örnek hakkında
Bu 31 sayfalık örnek; web yapılandırması, TLS, DNS, e-posta kontrolleri ve WordPress dahil bir dış değerlendirmeyi kapsar. Bazı bulgular ve kanıtlar yayımlanmadan önce çıkarılmıştır. Orijinal bulgu kimlikleri korunmuştur; bu nedenle ön ekleri güncellenen önem derecesinden farklı olabilir. Sayısal puanlar, sağlanan CVSS 3.1 vektörleriyle uyumlu hale getirilmiştir; gizlenen kanıtlar bağımsız olarak yeniden doğrulanmamıştır. Çalışmanızın kapsamı ayrıca kararlaştırılır.