[Synt World / Güvenlik denetimi](https://synt.world/tr/)

# Bir bulgudan çözüme.

Herkesin inceleyebilmesi için anonimleştirilmiş gerçek bir müşteri değerlendirmesi. Bulguları nasıl belgelediğimizi ve çözümü nasıl açıkladığımızı görün.

## Harekete geçmenizi sağlayan bir bulgu.

Bu, gerçek bir müşteriye ait anonimleştirilmiş bir değerlendirmedir. Müşteri tanımlayıcıları ve hassas kanıtlar gizlenmiş, gizliliği korumak için bazı bulgular çıkarılmıştır.

[Örnek raporu indirin (PDF)](https://synt.world/assets/synt-world-security-assessment-sample.pdf)

31 sayfa · İngilizce · Anonimleştirilmiş

Rapor bulgusu CRIT-01 Kritik · CVSS 9.3

### Kimlik bilgileriyle CORS yanlış yapılandırması

Web uygulaması / Erişim kontrolü · CWE-942

#### Başka bir web sitesi kullanıcılarınızın verilerini okuyabilir.

Sunucu, istek yapan her kaynağı (Origin) geri yansıtır ve kimlik bilgilerine izin verir. Oturum açmış bir kullanıcı kötü amaçlı bir siteyi açarsa, tarayıcı kullanıcının kimlik bilgilerini gönderdiği ve uç nokta isteği kabul ettiği sürece bu site kimlik doğrulamalı hassas yanıtları okuyabilir.

#### Her kaynak geri yansıtılıyor, kimlik bilgilerine izin veriliyor.

Rapor, istek yapan kaynağı Access-Control-Allow-Origin başlığında Access-Control-Allow-Credentials: true ile birlikte döndüren yanıtları kaydeder.

Müşteriye özgü yanıtlar ve yeniden üretim kanıtları indirilebilir örnekte gizlenmiştir. Bu sayfa değerlendirmeyi özetler; canlı bir test değildir.

Başlıklar tek başına istismarı kanıtlamaz: verilerin okunup okunamayacağını çerez politikası, uç nokta kimlik doğrulaması ve istek belirteçleri belirler; karartılmış örnek bunları göstermez.

#### Yalnızca kendi kaynaklarınıza izin verin.

Access-Control-Allow-Origin başlığını yalnızca kendi alan adlarınızdan oluşan açık bir izin listesi için döndürün ve kendi ön yüzünüz gerektirmiyorsa Access-Control-Allow-Credentials başlığını kaldırın. CORS başlıklarını kendiliğinden ekleyen eklentileri kontrol edin. Ardından isteği rastgele bir Origin ile tekrarlayın: yanıt Access-Control-Allow-Origin içermemelidir.

## Raporunuzun içeriği

### Kapsam ve bağlam

Test edilen varlıklar, erişim seviyeleri, değerlendirme dönemi ve sınırlamalar.

### Önceliklendirilmiş bulgular

Doğrulanmış açıklar, önem dereceleri ve ticari veya teknik etkileri.

### Kanıt ve giderme

Yeniden üretim koşulları, destekleyici kanıtlar ve önerilen düzeltici işlemler.

## Bu örnek hakkında

Bu 31 sayfalık örnek; web yapılandırması, TLS, DNS, e-posta kontrolleri ve WordPress dahil bir dış değerlendirmeyi kapsar. Bazı bulgular ve kanıtlar yayımlanmadan önce çıkarılmıştır. Orijinal bulgu kimlikleri korunmuştur; bu nedenle ön ekleri güncellenen önem derecesinden farklı olabilir. Sayısal puanlar, sağlanan CVSS 3.1 vektörleriyle uyumlu hale getirilmiştir; gizlenen kanıtlar bağımsız olarak yeniden doğrulanmamıştır. Çalışmanızın kapsamı ayrıca kararlaştırılır.

## Denetiminizi birlikte tanımlayalım.

[Ekiple iletişime geçin](https://synt.world/tr/contact.html)