偵測

JSONP 插入

high Web App Scanning Plugin ID 112805

語系：

概要

JSONP 插入

說明

JSONP (JSON with Padding) 是一種 JavaScript 技術，讓您可以使用標籤指令碼而非 XMLHttpRequest 物件，從伺服器查詢資料，而不必擔心跨網域問題，因而免去瀏覽器的同源原則限制之憂。由於 JSONP 不會套用來源控制，因此根據伺服器對要求的回應，此功能可能遭攻擊者用來竊取使用者的敏感資訊，而且在某些情況下，也會導致任意 JavaScript 程式碼執行攻擊 (跨網站指令碼攻擊)。

解決方案

JSONP 預設為繞過同源原則，因而不建議針對敏感端點使用 JSONP。最好使用對要求的來源有嚴格控制的 CORS 機制。

另請參閱

https://securitycafe.ro/2017/01/18/practical-jsonp-injection/

Plugin 詳細資訊

嚴重性: High

ID: 112805

類型: remote

系列: Injection

已發布: 2021/6/14

已更新: 2023/9/6

掃描範本: api, full, pci, scan

風險資訊

VPR

風險因素: Low

分數: 3.7

CVSS v2

風險因素: Medium

基本分數: 6.8

媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: High

基本分數: 7.1

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

CVSS 評分資料來源: Tenable

參考資訊