Какие уязвимости возникают при запрете кросс-доменных запросов

Основные уязвимости при запрете CORS:

1. CSRF (Межсайтовая подделка запроса) - если API не проверяет CSRF-токены, злоумышленник может заставить пользователя выполнить действия от его имени.

2. JSONP-уязвимости - использование JSONP как обходного пути для CORS может привести к утечке данных через callback-функции.

3. Ошибки конфигурации CORS - например, разрешение Access-Control-Allow-Origin: * для чувствительных данных или методов.

Пример уязвимого CORS:

// Сервер неправильно настроил CORS
app.use((req, res, next) => {
  res.header('Access-Control-Allow-Origin', '*') // Опасная настройка!
  next()
})

4. DNS Rebinding - атака, когда злоумышленник обходит политику same-origin, подменяя DNS-запись.

5. Уязвимости старых браузеров - некоторые браузеры могут некорректно обрабатывать CORS, позволяя обход ограничений.