遠端網路應用程式使用 Cookie 追蹤已驗證的使用者。不過，其中有一或多個 Cookie 未標記為「HttpOnly」，這表示惡意用戶端指令碼 (如 JavaScript) 可能讀取這些 Cookie。 

「HttpOnly」是一個防範跨網站指令碼攻擊的安全性機制，此機制是由 Microsoft 建議使用，且最初是在 Internet Explorer 中實作。所有新瀏覽器都支援此旗標。 

請注意：

  - 在某些情況下可規避「HttpOnly」。

  - 缺少此屬性並不表示 Web 應用程式會容易自動遭受跨網站指令碼攻擊。

  - 有些 Web 應用程式需要透過用戶端指令碼操控工作階段 cookie，且無法設定「HttpOnly」屬性。

偵測

Web 應用程式工作階段 Cookie 未標記為 HttpOnly

medium Nessus Plugin ID 48432

找不到變更記錄