↻
55번부터 같은 세트 100문항을 이어서 풉니다.
55/ 100문항 자료 불러오는 중
정처LAB 자체 제작 · 내용 검수 완료애플리케이션 보안 · 2023년 출제범위 기반 정보보안기사 실전 연습 세트 1 · 55번
API 응답에 요청의 Origin 값을 그대로 반사하고 `Access-Control-Allow-Credentials: true`를 설정했다. 공격 사이트에서 로그인 사용자의 응답을 읽을 수 있는 이유와 개선으로 옳은 것은?
Access-Control-Allow-Origin: 요청 Origin 그대로 반사
Access-Control-Allow-Credentials: true
공격 사이트는 credentials: include로 요청한다.
해당 환경의 SameSite 설정과 브라우저 정책상 세션 쿠키가 실제 요청에 포함된다.