Mala Configuración de CORS.

Política CORS insegura que permite a orígenes no confiables leer respuestas autenticadas, normalmente reflejando el encabezado Origin con Access-Control-Allow-Credentials: true. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Política CORS insegura que permite a orígenes no confiables leer respuestas autenticadas, normalmente reflejando el encabezado Origin con Access-Control-Allow-Credentials: true.

Una mala configuración de CORS se produce cuando el servidor implementa Cross-Origin Resource Sharing de forma que anula la política de mismo origen. Errores frecuentes son reflejar cualquier Origin en Access-Control-Allow-Origin, permitir el origen 'null', incluir subdominios mediante comodines o combinar Allow-Origin: * con Allow-Credentials: true. El atacante aloja una página que envía solicitudes autenticadas entre orígenes; como la respuesta es legible, puede exfiltrar tokens de sesión, datos de cuenta o respuestas de API. Las defensas incluyen listas blancas estrictas de orígenes, rechazar la reflexión del Origin y no combinar credenciales con comodines.

Las defensas contra Mala Configuración de CORS combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: CORS permisivo.