Salah konfigurasi CORS (CWE-942): bagaimana pemantulan Origin membocorkan data dan cara memperbaikinya

Konsep Kunci & Istilah

Kebijakan same-origin

Browser hanya membiarkan skrip membaca respons dari origin-nya sendiri (skema, host, dan port). Header respons CORS adalah cara server sengaja melonggarkan aturan itu untuk origin tertentu.

Access-Control-Allow-Origin dengan kredensial

Jika respons menyebut origin pemanggil di Access-Control-Allow-Origin dan mengirim Access-Control-Allow-Credentials: true, skrip di origin itu bisa membaca respons dari request yang membawa cookie pengguna. Browser menolak * bersama kredensial, karena itulah server yang salah konfigurasi memantulkan origin.

Pemantulan Origin dan pencocokan akhiran

Menyalin header Origin ke respons berarti memercayai semua situs. Pemeriksaan seperti endsWith('example.com'), pencocokan substring, atau regex tanpa jangkar dengan titik yang tidak di-escape juga menerima https://attacker-example.com.

Origin null

Iframe bersandbox, URL data:, dan sebagian redirect mengirim Origin: null. Penyerang mana pun bisa menghasilkannya, jadi mengizinkan null sama dengan mengizinkan semua orang.

Vary: Origin

Ketika Access-Control-Allow-Origin bergantung pada request, respons harus membawa Vary: Origin agar cache bersama tidak menyajikan header CORS milik satu origin ke origin lain. Paket cors menambahkannya untuk origin dinamis.

Alur Serangan Langkah demi Langkah

Kode Sumber: Rentan vs Aman

// server.js: origin apa pun yang berakhiran example.com, ditambah null, boleh membaca dengan cookie
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// true membuat cors memantulkan Origin pemanggil bersama kredensial
app.use(cors({
  origin: (origin, callback) => callback(null, !origin || origin === 'null' || origin.endsWith('example.com')),
  credentials: true,
}));

// data akun pribadi yang bisa dibaca origin yang disetujui
app.get('/api/account', requireSession, (req, res) => {
  res.json(accountFor(req.session.userId));
});

// server.js: dua origin persis, tidak ada yang lain
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// origin lengkap dengan skema dan host, dibandingkan persis
const ALLOWED_ORIGINS = new Set(['https://app.example.com', 'https://admin.example.com']);

// Origin yang tidak dikenal atau kosong tidak mendapat header CORS; cors menambahkan Vary: Origin
app.use(cors({
  origin: (origin, callback) => callback(null, origin !== undefined && ALLOWED_ORIGINS.has(origin)),
  credentials: true,
  methods: ['GET', 'POST'],
  maxAge: 600,
}));

// data pribadi tidak pernah disimpan cache bersama
app.get('/api/account', requireSession, (req, res) => {
  res.set('Cache-Control', 'no-store');
  res.json(accountFor(req.session.userId));
});

Daftar Periksa Penguatan Sistem Rekayasa

• Simpan allowlist origin lengkap (skema, host, dan port) dengan kecocokan persis dan bandingkan lewat pencarian Set; jangan pernah memantulkan Origin atau memakai pemeriksaan akhiran, substring, atau regex tanpa jangkar.
• Jangan pernah mengizinkan origin null, dan jangan pernah mengizinkan kredensial untuk origin yang tidak Anda kendalikan.
• Kirim Vary: Origin setiap kali Access-Control-Allow-Origin dipilih per request, dan Cache-Control: no-store pada respons berisi data pribadi.
• Setel cookie sesi ke SameSite=Lax atau Strict agar request lintas situs tidak membawanya.
• Tambahkan tes CI yang mengirim Origin: https://attacker.example dan Origin: null ke route yang butuh login dan gagal jika Access-Control-Allow-Origin muncul kembali.

Sumber

• CWE-942: Permissive Cross-domain Policy with Untrusted Domains
• MDN — Cross-Origin Resource Sharing (CORS)
• expressjs/cors — configuration options
• PortSwigger Research — Exploiting CORS misconfigurations for Bitcoins and bounties (2016)