Aşırı geniş CORS (ARCH6121)

Anahtar ruby.security.permissive-cors · Önem warning · Kategori security · CWE CWE-942

CORS’u joker köken (*) ile yapılandırmak, özellikle kimlik bilgileriyle birleştiğinde, API’yi herhangi bir sitenin okumasına açar.

Hatalı

Rails.application.config.middleware.insert_before 0, Rack::Cors do
  allow do
    origins "*"
    resource "*", credentials: true, headers: :any
  end
end

Doğru

Rails.application.config.middleware.insert_before 0, Rack::Cors do
  allow do
    origins "https://app.example.com"
    resource "*", credentials: true, headers: :any
  end
end

Düzeltme

İzin verilen kökenleri açık bir listeyle sınırlayın; kimlik bilgileriyle birlikte asla joker köken kullanmayın.