FixVibe
Covered by FixVibehigh

CORS தவறான உள்ளமைவு: அதிகப்படியான அனுமதிக்கப்பட்ட கொள்கைகளின் அபாயங்கள் ZXCVFIXVIBESGEND ZXCVFIXVIBESEG1 CORS தவறான உள்ளமைவுகள், தாக்குபவர்கள் ஒரே மூலக் கொள்கையைத் தவிர்த்து, ZXCVFIXVIBETOKEN1ZXCV-உருவாக்கிய இணையப் பயன்பாடுகளிலிருந்து முக்கியமான பயனர் தரவை எவ்வாறு திருட அனுமதிக்கிறது என்பதை அறியவும். ZXCVFIXVIBESGEND ZXCVFIXVIBESEG2 கிராஸ்-ஆரிஜின் ரிசோர்ஸ் ஷேரிங் (CORS) என்பது ஒரே-ஆரிஜின் பாலிசியை (SOP) தளர்த்த வடிவமைக்கப்பட்ட ஒரு உலாவி பொறிமுறையாகும். நவீன இணையப் பயன்பாடுகளுக்குத் தேவையான போது, ​​முறையற்ற செயலாக்கம்—கோரிக்கையாளரின் தோற்றத் தலைப்பை எதிரொலிப்பது அல்லது 'பூஜ்ய' மூலத்தை ஏற்புப்பட்டியலில் வைப்பது போன்றவை—தீங்கிழைக்கும் தளங்கள் தனிப்பட்ட பயனர் தரவை வெளியேற்ற அனுமதிக்கலாம். ZXCVFIXVIBESGEND ZXCVFIXVIBESEG3 ## பாதிப்பு ZXCVFIXVIBESGEND ZXCVFIXVIBESEG4 CORS பாதிக்கப்படக்கூடிய பயன்பாட்டின் பயனர்களிடமிருந்து முக்கியமான, அங்கீகரிக்கப்பட்ட தரவை தாக்குபவர் திருடலாம். பாதிக்கப்படக்கூடிய பயன்பாட்டில் உள்நுழைந்திருக்கும் போது, ​​ஒரு பயனர் தீங்கிழைக்கும் இணையதளத்தைப் பார்வையிட்டால், தீங்கிழைக்கும் தளமானது பயன்பாட்டின் ZXCVFIXVIBETOKEN4ZXCV க்கு குறுக்கு மூலக் கோரிக்கைகளை மேற்கொள்ளலாம் மற்றும் ZXCVFIXVIBETOKEN1ZXCVZXCVFIXVIBETOKEN2ZXCV பதில்களைப் படிக்கலாம். இது பயனர் சுயவிவரங்கள், CSRF டோக்கன்கள் அல்லது தனிப்பட்ட செய்திகள் ZXCVFIXVIBETOKEN3ZXCV உள்ளிட்ட தனிப்பட்ட தகவல்கள் திருடப்படுவதற்கு வழிவகுக்கும். ZXCVFIXVIBESGEND ZXCVFIXVIBESEG5 ## மூல காரணம் ZXCVFIXVIBESGEND ZXCVFIXVIBESEG6 ZXCVFIXVIBETOKEN2ZXCV என்பது ஒரு HTTP-தலைப்பு அடிப்படையிலான பொறிமுறையாகும், இது CORS ஆதாரங்களை ஏற்றுவதற்கு எந்த மூலங்கள் (டொமைன், ஸ்கீம் அல்லது போர்ட்) அனுமதிக்கப்படுகின்றன என்பதைக் குறிப்பிட சர்வர்களை அனுமதிக்கிறது. ஒரு சேவையகத்தின் ZXCVFIXVIBETOKEN3ZXCV கொள்கை மிகவும் நெகிழ்வானதாகவோ அல்லது மோசமாக செயல்படுத்தப்பட்டதாகவோ இருக்கும் போது பொதுவாக பாதிப்புகள் ஏற்படும்: ZXCVFIXVIBETOKEN1ZXCV: ZXCVFIXVIBESGEND ZXCVFIXVIBESEG7 * **பிரதிபலித்த தோற்றத் தலைப்பு:** சில சேவையகங்கள் கிளையன்ட் கோரிக்கையிலிருந்து CORS தலைப்பைப் படித்து, அதை மீண்டும் ZXCVFIXVIBETOKEN1ZXCV (ACAO) பதில் தலைப்பு ZXCVFIXVIBETOKEN2ZXCV இல் எதிரொலிக்கும். எந்தவொரு வலைத்தளத்தையும் ZXCVFIXVIBETOKEN3ZXCV என்ற ஆதாரத்தை அணுகுவதற்கு இது திறம்பட அனுமதிக்கிறது. ZXCVFIXVIBESGEND ZXCVFIXVIBESEG8 * **தவறாக உள்ளமைக்கப்பட்ட வைல்டு கார்டுகள்:** CORS வைல்டு கார்டு எந்த மூலத்தையும் ஆதாரத்தை அணுக அனுமதிக்கும் போது, நற்சான்றிதழ்கள் (குக்கீகள் அல்லது அங்கீகார தலைப்புகள் போன்றவை) ZXCVFIXVIBETOKEN1ZXCV தேவைப்படும் கோரிக்கைகளுக்கு இதைப் பயன்படுத்த முடியாது. டெவலப்பர்கள் அடிக்கடி ZXCVFIXVIBETOKEN2ZXCV கோரிக்கையின் அடிப்படையில் ACAO தலைப்பை மாறும் வகையில் உருவாக்குவதன் மூலம் இதைத் தவிர்க்க முயற்சி செய்கிறார்கள். ZXCVFIXVIBESGEND ZXCVFIXVIBESEG9 * ** 'பூஜ்ய' வெள்ளைப்பட்டியலில் ZXCVFIXVIBETOKEN2ZXCVZXCVFIXVIBETOKEN3ZXCV. ZXCVFIXVIBESGEND ZXCVFIXVIBESEG10 * **பாகுபடுத்தும் பிழைகள்:** CORS தலைப்பைச் சரிபார்க்கும் போது regex அல்லது string பொருத்தத்தில் ஏற்படும் தவறுகள் ZXCVFIXVIBETOKEN1ZXCV ZXCVFIXVIBETOKEN2ZXCV போன்ற டொமைன்களைப் பயன்படுத்த தாக்குபவர்களை அனுமதிக்கும். ZXCVFIXVIBESGEND ZXCVFIXVIBESEG11 ZXCVFIXVIBETOKEN1ZXCV என்பது குறுக்கு-தள கோரிக்கை மோசடிக்கு (CSRF) CORSக்கு எதிரான பாதுகாப்பு அல்ல என்பதைக் கவனத்தில் கொள்ள வேண்டும். ZXCVFIXVIBESGEND ZXCVFIXVIBESEG12 ## கான்கிரீட் திருத்தங்கள் ZXCVFIXVIBESGEND ZXCVFIXVIBESEG13 * **நிலையான அனுமதிப்பட்டியலைப் பயன்படுத்தவும்:** கோரிக்கையின் ZXCVFIXVIBETOKEN1ZXCV தலைப்பு ZXCVFIXVIBETOKEN2ZXCV இலிருந்து CORS தலைப்பை மாறும் வகையில் உருவாக்குவதைத் தவிர்க்கவும். மாறாக, நம்பகமான டொமைன் ZXCVFIXVIBETOKEN3ZXCV ஹார்டுகோட் செய்யப்பட்ட பட்டியலுடன் கோரிக்கையின் தோற்றத்தை ஒப்பிடவும். ZXCVFIXVIBESGEND ZXCVFIXVIBESEG14 * **'பூஜ்ய' மூலத்தைத் தவிர்க்கவும்:** CORS அனுமதிக்கப்பட்ட மூலங்களின் அனுமதிப்பட்டியலில் ZXCVFIXVIBETOKEN1ZXCV ஐ ஒருபோதும் சேர்க்க வேண்டாம். ZXCVFIXVIBESGEND ZXCVFIXVIBESEG15 * **நற்சான்றிதழ்களை கட்டுப்படுத்தவும்:** குறிப்பிட்ட குறுக்கு-ஆரிஜின் தொடர்பு ZXCVFIXVIBETOKEN1ZXCVக்கு முற்றிலும் தேவைப்பட்டால் மட்டுமே CORS ஐ அமைக்கவும். ZXCVFIXVIBESGEND ZXCVFIXVIBESEG16 * **சரியான சரிபார்ப்பைப் பயன்படுத்தவும்:** நீங்கள் பல தோற்றங்களை ஆதரிக்க வேண்டும் என்றால், CORS தலைப்புக்கான சரிபார்ப்பு தர்க்கம் வலுவானது மற்றும் துணை டொமைன்கள் அல்லது ZXCVFIXVIBETOKEN1ZXCV போன்ற தோற்றமுடைய டொமைன்களால் புறக்கணிக்க முடியாது. ZXCVFIXVIBESGEND ZXCVFIXVIBESEG17 ## அதை எப்படி CORS சோதிக்கிறது ZXCVFIXVIBESGEND ZXCVFIXVIBESEG18 ZXCVFIXVIBETOKEN1ZXCV இப்போது இது ஒரு கேடட் ஆக்டிவ் காசோலையாக சேர்க்கப்பட்டுள்ளது. டொமைன் சரிபார்ப்பிற்குப் பிறகு, CORS செயற்கையான தாக்குதலைத் தோற்றுவிக்கும் அதே தோற்றம் கொண்ட ZXCVFIXVIBETOKEN2ZXCV கோரிக்கைகளை அனுப்புகிறது மற்றும் ZXCVFIXVIBETOKEN4ZXCV பதில் தலைப்புகளை மதிப்பாய்வு செய்கிறது. இது தன்னிச்சையான தோற்றம், வைல்டு கார்டு நற்சான்றிதழ் ZXCVFIXVIBETOKEN5ZXCV மற்றும் பொதுச் சொத்து இரைச்சலைத் தவிர்க்கும் போது பொது அல்லாத ZXCVFIXVIBETOKEN3ZXCV இறுதிப்புள்ளிகளில் பரந்த-திறந்த ZXCVFIXVIBETOKEN6ZXCV ஆகியவற்றைப் பிரதிபலிக்கிறது.

Cross-Origin Resource Sharing (CORS) is a browser mechanism designed to relax the Same-Origin Policy (SOP). While necessary for modern web apps, improper implementation—such as echoing the requester's Origin header or whitelisting the 'null' origin—can allow malicious sites to exfiltrate private user data.

CWE-942

Impact

An attacker can steal sensitive, authenticated data from users of a vulnerable application [S2]. If a user visits a malicious website while logged into the vulnerable app, the malicious site can make cross-origin requests to the app's API and read the responses [S1][S2]. This can lead to the theft of private information, including user profiles, CSRF tokens, or private messages [S2].

Root Cause

CORS is an HTTP-header based mechanism that allows servers to specify which origins (domain, scheme, or port) are permitted to load resources [S1]. Vulnerabilities typically arise when a server's CORS policy is too flexible or poorly implemented [S2]:

  • Reflected Origin Header: Some servers read the Origin header from a client request and echo it back in the Access-Control-Allow-Origin (ACAO) response header [S2]. This effectively allows any website to access the resource [S2].
  • Misconfigured Wildcards: While the * wildcard allows any origin to access a resource, it cannot be used for requests that require credentials (like cookies or Authorization headers) [S3]. Developers often try to bypass this by dynamically generating the ACAO header based on the request [S2].
  • Whitelisting 'null': Some applications whitelist the null origin, which can be triggered by redirected requests or local files, allowing malicious sites to masquerade as a null origin to gain access [S2][S3].
  • Parsing Errors: Mistakes in regex or string matching when validating the Origin header can allow attackers to use domains like trusted-domain.com.attacker.com [S2].

It is important to note that CORS is not a protection against Cross-Site Request Forgery (CSRF) [S2].

Concrete Fixes

  • Use a Static Whitelist: Avoid dynamically generating the Access-Control-Allow-Origin header from the request's Origin header [S2]. Instead, compare the request's origin against a hardcoded list of trusted domains [S3].
  • Avoid the 'null' Origin: Never include null in your whitelist of allowed origins [S2].
  • Restrict Credentials: Only set Access-Control-Allow-Credentials: true if absolutely necessary for the specific cross-origin interaction [S3].
  • Use Proper Validation: If you must support multiple origins, ensure the validation logic for the Origin header is robust and cannot be bypassed by subdomains or similar-looking domains [S2].

How FixVibe tests for it

FixVibe now includes this as a gated active check. After domain verification, active.cors sends same-origin API requests with a synthetic attacker origin and reviews CORS response headers. It reports reflected arbitrary origins, wildcard credentialed CORS, and wide-open CORS on non-public API endpoints while avoiding public asset noise.