Sicherheit von Webanwendungen · Middle · Frage 32 von 75
Ein Server erlaubt jeden Origin, der auf example.com endet. Was ist der Fehler?
- 1Subdomains von
example.comwerden von der Prüfung blockiert - 2Ein Angreifer kann
evil-example.comregistrieren, das auch passt - 3Die Prüfung funktioniert nur für HTTP-Origins, nicht für HTTPS
Antwort zeigen
Richtige Antwort: Ein Angreifer kann evil-example.com registrieren, das auch passt
Erklärung
Lockere String-Prüfungen und kaputte Regexes sind häufige CORS-Bugs. Parse den Origin und vergleiche den vollen Host mit einer Liste.