İzin verici CORS (ARCH4121)

Anahtar java.security.permissive-cors · Önem warning · Kategori security · CWE CWE-942

Joker köken (*) ile, özellikle kimlik bilgileriyle birlikte yapılandırılan CORS, herhangi bir web sitesinin kullanıcı oturumlarını kullanarak API’nize istek atmasına olanak tanır.

Hatalı

@Bean
public CorsConfigurationSource cors() {
    CorsConfiguration c = new CorsConfiguration();
    c.addAllowedOrigin("*");
    c.setAllowCredentials(true);
    ...
}

Doğru

@Bean
public CorsConfigurationSource cors() {
    CorsConfiguration c = new CorsConfiguration();
    c.setAllowedOrigins(List.of("https://app.example.com"));
    c.setAllowCredentials(true);
    ...
}

Düzeltme

İzin verilen kökenleri açık bir izin listesiyle sınırlayın; kimlik bilgileriyle birlikte joker köken kullanmayın.