Mauvaise Configuration CORS.

Politique CORS non sûre permettant à des origines non fiables de lire des réponses authentifiées, typiquement en reflétant l'en-tête Origin avec Access-Control-Allow-Credentials: true. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Politique CORS non sûre permettant à des origines non fiables de lire des réponses authentifiées, typiquement en reflétant l'en-tête Origin avec Access-Control-Allow-Credentials: true.

Une mauvaise configuration CORS survient lorsqu'un serveur implémente Cross-Origin Resource Sharing d'une manière qui annule la politique de même origine. Les erreurs courantes incluent la réflexion de toute Origin dans Access-Control-Allow-Origin, l'autorisation de l'origine 'null', les jokers sur sous-domaines, ou la combinaison Allow-Origin: * et Allow-Credentials: true. L'attaquant héberge une page qui émet des requêtes authentifiées multi-origines ; la réponse étant lisible, il exfiltre jetons de session, informations de compte ou réponses d'API. Les défenses comprennent une liste blanche stricte, le refus de la réflexion d'Origin et l'interdiction d'associer credentials et jokers.

Les défenses contre Mauvaise Configuration CORS combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : CORS permissif.