Sunucu taraflı istek sahteciliği (ARCH9104)

Anahtar swift.security.ssrf · Önem warning · Kategori security · CWE CWE-918

URL’si uygulamanın kendi kurduğu bir değerden değil, istek ya da kullanıcı girdisinden gelen URLSession isteklerini işaretler.

Hatalı

let url = URL(string: request.query["url"]!)!
let (data, _) = try await URLSession.shared.data(from: url)

Doğru

guard let url = URL(string: raw), allowedHosts.contains(url.host ?? "") else { throw Forbidden() }

Düzeltme

Sunucuları izin listesine alın, loopback ve link-local adresleri reddedin.