Aşırı izin veren CORS (ARCH2121)

Anahtar python.security.permissive-cors · Önem warning · Kategori security · CWE CWE-942

Joker köken (*) ile, özellikle kimlik bilgileriyle birlikte, CORS yapılandırmak API’yi herhangi bir siteye açar. Kökenleri açık bir listeyle sınırlandırın.

Hatalı

from flask_cors import CORS

def init(app):
    CORS(app, origins="*", supports_credentials=True)

Doğru

from flask_cors import CORS

def init(app):
    CORS(app, origins=["https://app.example.com"], supports_credentials=True)

Düzeltme

Joker köken yerine güvenilir kökenlerden oluşan açık bir liste tanımlayın; kimlik bilgileriyle * kullanmayın.