민감한 쿼리 문자열(세션 ID)과 함께 GET 요청 방법 사용

설명

요청 URL과 쿠키 값에서 세션 ID가 식별되었습니다. 세션 ID는 프록시 시스템에 캡쳐될 수 있거나 브라우저 기록이나 로그 파일에 저장될 수 있으므로 GET 요청에서 전송되어서는 안 됩니다. 공격자가 세션 ID에 액세스하면 대상 계정에 액세스할 수 있는 가능성이 있습니다.

복구

요청 헤더는 거의 로그에 남거나 제3자 시스템에서 캡처되지 않기 때문에 세션 ID 값이 요청 URL에 전송되지 않고 Set-Cookie 응답 헤더를 통해 할당된 쿠키에만 전송되도록 합니다.

세부 정보

ID 집계 CWE 유형 위험
598.1 true 598 매뉴얼 중간

링크