HttpOnly olmayan çerez (ARCH2124)

Anahtar python.security.cookie-missing-httponly · Önem warning · Kategori security · CWE CWE-1004

HttpOnly bayrağı olmayan oturum veya kimlik çerezleri JavaScript tarafından okunabilir. Bir XSS açığı bulunduğunda bu çerezler kolayca çalınarak oturum ele geçirilebilir.

Hatalı

resp = make_response("ok")
resp.set_cookie("session", token, secure=True, httponly=False)
return resp

Doğru

resp = make_response("ok")
resp.set_cookie("session", token, secure=True, httponly=True, samesite="Lax")
return resp

Düzeltme

Oturum ve kimlik çerezlerini her zaman httponly=True ile ayarlayın.