Mata kail
Mengamankan penempatan Vercel memerlukan konfigurasi aktif ciri keselamatan seperti Perlindungan Penggunaan dan pengepala HTTP tersuai [S2][S3]. Bergantung pada tetapan lalai boleh menyebabkan persekitaran dan pengguna terdedah kepada akses yang tidak dibenarkan atau kelemahan pihak klien [S2][S3].
Apa yang berubah
Vercel menyediakan mekanisme khusus untuk Perlindungan Deployment dan pengurusan pengepala tersuai untuk meningkatkan postur keselamatan aplikasi yang dihoskan [S2][S3]. Ciri ini membolehkan pembangun menyekat akses persekitaran dan menguatkuasakan dasar keselamatan peringkat penyemak imbas [S2][S3].
Siapa yang terjejas
Organisasi yang menggunakan Vercel terjejas jika mereka tidak mengkonfigurasi Perlindungan Penerapan untuk persekitaran mereka atau menentukan pengepala keselamatan tersuai untuk aplikasi mereka [S2][S3]. Ini amat penting untuk pasukan yang menguruskan data sensitif atau penempatan pratonton peribadi [S2].
Cara isu ini berfungsi
Arahan Vercel boleh diakses melalui URL yang dijana melainkan Perlindungan Penggunaan didayakan secara eksplisit untuk menyekat akses [S2]. Selain itu, tanpa konfigurasi pengepala tersuai, aplikasi mungkin kekurangan pengepala keselamatan penting seperti Dasar Keselamatan Kandungan (CSP), yang tidak digunakan secara lalai [S3].
Apa yang diperoleh oleh penyerang
Penyerang berkemungkinan boleh mengakses persekitaran pratonton terhad jika Perlindungan Penggunaan tidak aktif [S2]. Ketiadaan pengepala keselamatan juga meningkatkan risiko serangan pihak klien yang berjaya, kerana penyemak imbas tidak mempunyai arahan yang diperlukan untuk menyekat aktiviti berniat jahat [S3].
Bagaimana FixVibe mengujinya
FixVibe kini memetakan topik penyelidikan ini kepada dua cek pasif yang dihantar. headers.vercel-deployment-security-backfill membenderakan URL penggunaan *.vercel.app yang dijana oleh Vercel hanya apabila permintaan biasa yang tidak disahkan, mengembalikan respons 2xx/3xx daripada hos yang dijana yang sama dan bukannya kata laluan ZXCVFIXXVIBETOVENy, SSOuthentication atau SSS. Cabaran perlindungan [S2]. headers.security-headers secara berasingan memeriksa tindak balas pengeluaran awam untuk CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, dan clickjacking defensesCVIXCconfigured melalui headers.security-headers atau aplikasi [S3]. FixVibe tidak memaksa URL penggunaan secara kasar atau cuba memintas pratonton yang dilindungi.
Perkara yang perlu diperbaiki
Dayakan Perlindungan Penggunaan dalam papan pemuka Vercel untuk mendapatkan persekitaran pratonton dan pengeluaran [S2]. Selain itu, tentukan dan gunakan pengepala keselamatan tersuai dalam konfigurasi projek untuk melindungi pengguna daripada serangan berasaskan web biasa [S3].