V5325. OWASP. Setting the value of the 'Access-Control-Allow-Origin' header to '*' is potentially insecure.

Анализатор обнаружил небезопасную конфигурацию Cross-origin resource sharing (CORS). Значение * у заголовка ответа сервера Access-Control-Allow-Origin позволяет веб-странице с абсолютно любого хоста получать содержимое ответов.

Если значением заголовка Access-Control-Allow-Origin будет *, веб-страницы с абсолютно любым доменом смогут получить содержимое ответа. Это небезопасно и, в зависимости от обстоятельств, чревато негативными последствиями разной степени серьёзности. Сайты злоумышленников смогут получать доступ к ресурсам вашей страницы, а при особых обстоятельствах возможно раскрытие конфиденциальной информации.

Уязвимости такого типа относятся к категории рисков OWASP Top 10 Application Security Risks 2021:

• A5:2021-Security Misconfiguration.

Примеры небезопасной конфигурации:

@CrossOrigin                 // <=
@GetMapping("/user")
public User getUser(....) {
  // ....
}

@CrossOrigin(origins = "*")  // <=  
@GetMapping("/user")
public User getUser(....) {
  // ....
}

Исправленный вариант:

@CrossOrigin(origins = "https://allowed.com")  // <= 
@GetMapping("/getUser")
public User getUser(....) {
    // ....
}

Данная диагностика классифицируется как: