Vulnérabilité JSONP.

Fuite de données multi-origines provoquée par des endpoints JSONP qui renvoient des données authentifiées sensibles enveloppées dans une fonction de callback choisie par l'attaquant. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Fuite de données multi-origines provoquée par des endpoints JSONP qui renvoient des données authentifiées sensibles enveloppées dans une fonction de callback choisie par l'attaquant.

JSONP (JSON with Padding) est une technique multi-origines historique : le serveur renvoie du JavaScript de la forme callback({...}) qu'une page distante inclut via <script src>. Les vulnérabilités JSONP apparaissent quand ces endpoints exposent des données authentifiées et que le paramètre callback est reflété sans validation : l'attaquant héberge une page qui charge l'URL JSONP avec son propre nom de fonction et capture la réponse, contournant la politique de même origine et les protections SameSite. Le schéma permet aussi du XSS si du contenu hors identifiant valide est reflété. Bonne pratique moderne : supprimer JSONP, le remplacer par du JSON protégé par CORS, et ne jamais exposer d'endpoints sensibles à l'inclusion via <script>.

Les défenses contre Vulnérabilité JSONP combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Fuite JSONP, Détournement JSONP.