CORS Misconfiguration
hackingDéfinition
Configuration erronée du mécanisme CORS autorisant des origines non fiables à effectuer des requêtes cross-origin authentifiées, permettant le vol de données sensibles via scripts malveillants.
Description
La misconfiguration CORS autorise des origines non fiables à effectuer des requêtes cross-origin authentifiées. Une configuration trop permissive (Access-Control-Allow-Origin: *) avec credentials peut exposer des APIs sensibles à des scripts malveillants tiers.
Exploitation
Un attaquant crée un site malveillant qui effectue des requêtes AJAX vers l'API cible en exploitant la session active de la victime. Les données retournées sont transmises au serveur de l'attaquant sans que l'utilisateur ne s'en aperçoive.
Défense
- Définir une whitelist stricte des origines autorisées côté serveur, ne jamais refléter l'origin de la requête
- Ne jamais combiner Access-Control-Allow-Credentials: true avec un wildcard d'origine
- Auditer régulièrement la configuration CORS avec des scanners spécialisés
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis