Web 應用程式工作階段 Cookie 未標記為 HttpOnly

medium Nessus Plugin ID 48432

語系：

概要

HTTP 工作階段 Cookie 可能容易遭受跨網站指令碼攻擊的影響。

說明

遠端網路應用程式使用 Cookie 追蹤已驗證的使用者。不過，其中有一或多個 Cookie 未標記為「HttpOnly」，這表示惡意用戶端指令碼 (如 JavaScript) 可能讀取這些 Cookie。

「HttpOnly」是一個防範跨網站指令碼攻擊的安全性機制，此機制是由 Microsoft 建議使用，且最初是在 Internet Explorer 中實作。所有新瀏覽器都支援此旗標。

請注意：

- 在某些情況下可規避「HttpOnly」。

- 缺少此屬性並不表示 Web 應用程式會容易自動遭受跨網站指令碼攻擊。

- 有些 Web 應用程式需要透過用戶端指令碼操控工作階段 cookie，且無法設定「HttpOnly」屬性。