CORS (Cross-Origin Resource Sharing) güvenlik açığı, bir web sayfasının farklı bir domain, port veya protokolden gelen kaynaklara erişimine izin veren güvenlik mekanizmasının yanlış yapılandırılması sonucu ortaya çıkar 12.
Bu tür bir hata, aşağıdaki güvenlik açıklarına yol açabilir:
- Tüm domain'lere erişim izni: Access-Control-Allow-Origin: * başlığının kullanılması, potansiyel olarak zararlı sitelerden gelen API isteklerinin geçmesine sebep olur 1.
- Kimlik bilgilerinin paylaşımı: Access-Control-Allow-Credentials: true ayarında, origin başlığının doğru yapılandırılmaması, saldırganların kullanıcı bilgilerini çalmasına olanak tanır 1.
- Reflected origin hataları: Dinamik yanıtlar veren web uygulamaları, CORS başlıklarının yanlış yapılandırılması nedeniyle zararlı sitelere veri sızdırabilir 1.
5 kaynaktan alınan bilgiyle göre: