检测

JSONP 注入

medium Web App Scanning 插件 ID 112805

语言：

简介

JSONP 注入

描述

JSONP（带填充的 JSON）是一种 JavaScript 技术，使用标签脚本而非 XMLHttpRequest 对象，则可从服务器查询数据，而不必担心跨域问题，因此不必担心浏览器的同源策略限制。由于 JSONP 未应用来源控制（取决于服务器对请求的响应）的本质，攻击者便可滥用此功能窃取用户的敏感信息，而在某些情况下，还可导致任意 JavaScript 代码执行（跨站脚本）。

解决方案

建议不要将 JSONP 用于敏感端点，因为 JSONP 在默认情况下被指定为绕过同源策略。最好使用对请求来源严格控制的 CORS 机制。

另见

https://securitycafe.ro/2017/01/18/practical-jsonp-injection/

插件详情

严重性: Medium

ID: 112805

类型: remote

系列: Injection

发布时间: 2021/6/14

最近更新时间: 2023/9/6

扫描模板: api, full, pci, scan

风险信息

VPR

风险因素: Medium

分数: 4.4

CVSS v2

风险因素: Medium

基本分数: 6.8

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 分数来源: Tenable

CVSS v3

风险因素: High

基本分数: 7.1

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

CVSS 分数来源: Tenable

CVSS v4

风险因素: Medium

Base Score: 5.1

Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L

CVSS 分数来源: Tenable

参考资料信息