Configuración incorrecta de CORS (CWE-942): cómo el reflejo de Origin filtra datos y cómo corregirlo

Conceptos Clave y Términos

Política del mismo origen

Los navegadores solo permiten que un script lea respuestas de su propio origen (esquema, host y puerto). Las cabeceras de respuesta CORS son la forma en que un servidor relaja esa regla a propósito para orígenes concretos.

Access-Control-Allow-Origin con credenciales

Si la respuesta nombra el origen de quien llama en Access-Control-Allow-Origin y envía Access-Control-Allow-Credentials: true, un script en ese origen puede leer respuestas a peticiones que llevaron las cookies del usuario. Los navegadores rechazan * junto con credenciales, por eso los servidores mal configurados devuelven el origen tal cual.

Reflejo de Origin y comprobación de sufijo

Copiar la cabecera Origin en la respuesta confía en todos los sitios. Comprobaciones como endsWith('example.com'), búsquedas de subcadenas o expresiones regulares sin anclas y con puntos sin escapar también aceptan https://attacker-example.com.

El origen null

Los iframes en sandbox, las URL data: y algunas redirecciones envían Origin: null. Cualquier atacante puede producirlo, así que permitir null equivale a permitir a todo el mundo.

Vary: Origin

Cuando Access-Control-Allow-Origin depende de la petición, la respuesta debe llevar Vary: Origin para que las cachés compartidas no sirvan a un origen las cabeceras CORS de otro. El paquete cors la añade para orígenes dinámicos.

Flujo de Ataque Paso a Paso

Código Fuente: Vulnerable vs. Seguro

// server.js: cualquier origen que termine en example.com, más null, puede leer con cookies
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// true hace que cors devuelva el Origin de quien llama junto con credenciales
app.use(cors({
  origin: (origin, callback) => callback(null, !origin || origin === 'null' || origin.endsWith('example.com')),
  credentials: true,
}));

// datos privados de la cuenta legibles por los orígenes aprobados
app.get('/api/account', requireSession, (req, res) => {
  res.json(accountFor(req.session.userId));
});

// server.js: dos orígenes exactos, nada más
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// orígenes completos con esquema y host, comparados exactamente
const ALLOWED_ORIGINS = new Set(['https://app.example.com', 'https://admin.example.com']);

// un Origin desconocido o ausente no recibe cabeceras CORS; cors añade Vary: Origin
app.use(cors({
  origin: (origin, callback) => callback(null, origin !== undefined && ALLOWED_ORIGINS.has(origin)),
  credentials: true,
  methods: ['GET', 'POST'],
  maxAge: 600,
}));

// los datos personales nunca se guardan en cachés compartidas
app.get('/api/account', requireSession, (req, res) => {
  res.set('Cache-Control', 'no-store');
  res.json(accountFor(req.session.userId));
});

Lista de Verificación de Seguridad para Ingeniería

• Mantén una lista de permitidos con coincidencia exacta de orígenes completos (esquema, host y puerto) y compara con una búsqueda en un Set; nunca reflejes Origin ni uses comprobaciones de sufijo, subcadena o regex sin anclas.
• No permitas nunca el origen null ni permitas credenciales para un origen que no controlas.
• Envía Vary: Origin siempre que Access-Control-Allow-Origin se elija por petición, y Cache-Control: no-store en respuestas con datos personales.
• Configura las cookies de sesión como SameSite=Lax o Strict para que las peticiones entre sitios no las lleven.
• Añade una prueba en CI que envíe Origin: https://attacker.example y Origin: null a rutas autenticadas y falle si vuelve Access-Control-Allow-Origin.

Fuentes

• CWE-942: Permissive Cross-domain Policy with Untrusted Domains
• MDN — Cross-Origin Resource Sharing (CORS)
• expressjs/cors — configuration options
• PortSwigger Research — Exploiting CORS misconfigurations for Bitcoins and bounties (2016)