偵測

跨網站指令碼包含 (XSSI)

medium Web App Scanning Plugin ID 113016

語系：

概要

跨網站指令碼包含 (XSSI)

說明

跨網站指令碼包含 (XSSI) 是指包含遠端頁面。除此之外，此弱點還允許攻擊者繞過瀏覽器的同源原則機制。藉由強制受害者導覽至惡意網站，而不是使用 JavaScript 直接向將由 SoP 封鎖的網站提出要求，攻擊者可以在頁面中包含遠端指令碼。若 Cookie 的設定過於寬鬆，應用程式會在呼叫期間整合這些資訊，如果是包含敏感資訊且經驗證的指令碼，攻擊者便可存取該指令碼。

解決方案

一般而言，不建議在可使用 Javascript 呼叫的檔案中包含敏感資料。使用 SameSite 旗標強制執行 Cookie。僅允許透過使用 CSRF 防禦權杖的 POST 要求來要求頁面。

另請參閱

https://owasp.org/www-project-web-security-testing-guide/v41/4-Web_Application_Security_Testing/11-Client_Side_Testing/13-Testing_for_Cross_Site_Script_Inclusion

https://www.mbsd.jp/Whitepaper/xssi.pdf

https://www.usenix.org/system/files/conference/usenixsecurity15/sec15-paper-lekies.pdf

Plugin 詳細資訊

嚴重性: Medium

ID: 113016

類型: remote

已發布: 2021/10/21

已更新: 2021/11/26

掃描範本: api, full, pci, scan

風險資訊

VPR

風險因素: Medium

分數: 4.2

CVSS v2

風險因素: Medium

基本分數: 5.8

媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Medium

基本分數: 6.1

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

CVSS 評分資料來源: Tenable

參考資訊