Permissive CORS (ARCH323)

Anahtar dotnet.security.permissive-cors · Önem error · Kategori security · CWE CWE-942

AllowAnyOrigin ile AllowCredentials birlikte kullanıldığında, herhangi bir köken kimlik bilgileriyle (çerez/token) istek yapabilir. Bu, kullanıcı oturumlarının kötü amaçlı sitelere açılmasına neden olur.

Hatalı

builder.Services.AddCors(o => o.AddDefaultPolicy(p =>
    p.AllowAnyOrigin()
     .AllowAnyHeader()
     .AllowCredentials()));

Doğru

builder.Services.AddCors(o => o.AddDefaultPolicy(p =>
    p.WithOrigins("https://app.example.com")
     .AllowAnyHeader()
     .AllowCredentials()));

Düzeltme

Kimlik bilgisi gerektiren senaryolarda AllowAnyOrigin yerine WithOrigins ile açıkça güvenilen kökenleri listeleyin.