HttpOnly Eksik Çerez (ARCH6124)

Anahtar ruby.security.cookie-missing-httponly · Önem warning · Kategori security · CWE CWE-1004

HttpOnly bayrağı olmayan çerezler JavaScript ile okunabilir; bir XSS açığı bunları çalmak için kullanılabilir. Oturum ve kimlik çerezlerine her zaman HttpOnly ekleyin.

Hatalı

class SessionsController < ApplicationController
  def create
    cookies[:session_token] = { value: token }
  end
end

Doğru

class SessionsController < ApplicationController
  def create
    cookies[:session_token] = {
      value: token,
      httponly: true,
      secure: true,
      same_site: :lax
    }
  end
end

Düzeltme

Oturum ve kimlik çerezlerini httponly: true ile ayarlayın.