# V5325\. OWASP\. Setting the value of the 'Access\-Control\-Allow\-Origin' header to '\*' is potentially insecure\.

Анализатор обнаружил небезопасную конфигурацию Cross\-origin resource sharing \(CORS\)\. Значение \* у заголовка ответа сервера Access\-Control\-Allow\-Origin позволяет веб\-странице с абсолютно любого хоста получать содержимое ответов\.

Если значением заголовка `Access-Control-Allow-Origin` будет `*`, веб\-страницы с абсолютно любым доменом смогут получить содержимое ответа\. Это небезопасно и, в зависимости от обстоятельств, чревато негативными последствиями разной степени серьёзности\. Сайты злоумышленников смогут получать доступ к ресурсам вашей страницы, а при особых обстоятельствах возможно раскрытие конфиденциальной информации\.

Уязвимости такого типа относятся к категории рисков OWASP Top 10 Application Security Risks 2021: 

* [A5:2021\-Security Misconfiguration\.](https://owasp.org/Top10/A05_2021-Security_Misconfiguration/)

 Примеры небезопасной конфигурации:

```cpp
@CrossOrigin                 // <=
@GetMapping("/user")
public User getUser(....) {
  // ....
}
```



```cpp
@CrossOrigin(origins = "*")  // <=  
@GetMapping("/user")
public User getUser(....) {
  // ....
}
```

Исправленный вариант:

```cpp
@CrossOrigin(origins = "https://allowed.com")  // <= 
@GetMapping("/getUser")
public User getUser(....) {
    // ....
}
```