CSP non efficace contro gli attacchi XSS

Alta
CSP non efficace contro gli attacchi XSS

La tua Content Security Policy è assente o non previene in modo efficace gli attacchi cross-site scripting.

Rischio

Una CSP debole o assente consente agli attaccanti di iniettare script malevoli sfruttando vulnerabilità XSS. Questi script possono rubare cookie e sessioni, registrare i tasti premuti, modificare il contenuto della pagina, reindirizzare gli utenti verso siti di phishing o eseguire azioni per conto dell'utente. La CSP è la misura di difesa in profondità più efficace contro gli attacchi XSS.

Soluzione

Implementa una CSP rigorosa che usi nonce o hash al posto di 'unsafe-inline'. Evita 'unsafe-eval'. Usa 'strict-dynamic' per il caricamento di script attendibili. Testa prima con Content-Security-Policy-Report-Only.

Esempio
Content-Security-Policy: script-src 'nonce-{random}' 'strict-dynamic'; object-src 'none'; base-uri 'self'
CSP - web.dev CSP Evaluator
Discussione (0)

Nessun messaggio ancora.