Оглавление
V5325. OWASP. Setting the value of the 'Access-Control-Allow-Origin' header to '*' is potentially insecure.
Анализатор обнаружил небезопасную конфигурацию Cross-origin resource sharing (CORS). Значение * у заголовка ответа сервера Access-Control-Allow-Origin позволяет веб-странице с абсолютно любого хоста получать содержимое ответов.
Если значением заголовка Access-Control-Allow-Origin будет *, веб-страницы с абсолютно любым доменом смогут получить содержимое ответа. Это небезопасно и, в зависимости от обстоятельств, чревато негативными последствиями разной степени серьёзности. Сайты злоумышленников смогут получать доступ к ресурсам вашей страницы, а при особых обстоятельствах возможно раскрытие конфиденциальной информации.
Уязвимости такого типа относятся к категории рисков OWASP Top 10 Application Security Risks 2021:
Примеры небезопасной конфигурации:
@CrossOrigin // <=
@GetMapping("/user")
public User getUser(....) {
// ....
}@CrossOrigin(origins = "*") // <=
@GetMapping("/user")
public User getUser(....) {
// ....
}Исправленный вариант:
@CrossOrigin(origins = "https://allowed.com") // <=
@GetMapping("/getUser")
public User getUser(....) {
// ....
}Данная диагностика классифицируется как:
Была ли полезна эта страница документации?
