İzin veren CORS (ARCH3121)

Anahtar typescript.security.permissive-cors · Önem warning · Kategori security · CWE CWE-942

CORS’u joker köken (*) ile, özellikle credentials: true ile birlikte yapılandırmak, herhangi bir sitenin kimlik doğrulamalı isteklerle API’nize erişmesine olanak tanır.

Hatalı

import cors from "cors";

app.use(cors({ origin: "*", credentials: true }));

Doğru

import cors from "cors";

const allowed = ["https://app.example.com"];
app.use(cors({
  origin: (o, cb) => cb(null, !o || allowed.includes(o)),
  credentials: true,
}));

Düzeltme

Köken için bir izin listesi kullanın; credentials: true ile asla * joker kökeni birlikte kullanmayın.