python.flask-cors-misconfiguration

'support_credentials=True' zusammen mit 'origin="*"' ist eine CORS-Fehlkonfiguration, die Dritt-Origin den Zugriff auf sensible Daten erlauben kann. Mit dieser Konfiguration spiegelt flask_cors dynamisch die Origin jeder Anfrage im Header Access-Control-Allow-Origin wider, lässt alle Origins zu und erlaubt das Senden von Cookies und Anmeldedaten mit der Anfrage. Geben Sie bei 'support_credentials=True' erlaubte Origins an, statt "*" zu verwenden.

Setting 'support_credentials=True' together with 'origin="*"' is a CORS misconfiguration that can allow third party origins to read sensitive data. Using this configuration, flask_cors will dynamically reflects the Origin of each request in the Access-Control-Allow-Origin header, allowing all origins and allowing cookies and credentials to be sent along with request. It is recommended to specify allowed origins instead of using "*" when setting 'support_credentials=True'.

Définir 'support_credentials=True' avec 'origin="*"' est une mauvaise configuration CORS qui peut permettre à des origines tierces de lire des données sensibles. Avec cette configuration, flask_cors reflète dynamiquement l'Origin de chaque requête dans l'en-tête Access-Control-Allow-Origin, autorisant toutes les origines ainsi que l'envoi de cookies et d'identifiants avec la requête. Spécifiez les origines autorisées plutôt que "*" quand vous définissez 'support_credentials=True'.

'support_credentials=True' と 'origin="*"' を同時に設定するのは誤った CORS 設定であり、サードパーティーのオリジンに機密データを読み取られる恐れがあります。この設定では、flask_cors が Access-Control-Allow-Origin ヘッダーに各リクエストの Origin を動的にエコーバックするため、すべてのオリジンを許可して Cookie と認証情報をリクエストと一緒に送信することを認めるのと同じことになります。'support_credentials=True' を設定する場合は、許可するオリジンを明示的に列挙し、"*" は使用しないでください。

'support_credentials=True'와 'origin="*"'를 동시에 설정하는 것은 잘못된 CORS 구성이며, 제3자 출처가 민감한 데이터를 읽을 수 있게 합니다. 이 구성에서는 flask_cors가 Access-Control-Allow-Origin 헤더에 각 요청의 Origin을 동적으로 반영하므로, 모든 출처를 허용하고 Cookie와 자격 증명이 요청과 함께 전송되도록 허용하는 것과 같습니다. 'support_credentials=True'를 설정할 때는 허용할 출처를 명시적으로 나열하고 "*"를 사용하지 마십시오.

Совместная установка 'support_credentials=True' и 'origin="*"' — неверная конфигурация CORS, она позволит сторонним источникам читать чувствительные данные. В такой конфигурации flask_cors динамически подставляет Origin каждого запроса в заголовок Access-Control-Allow-Origin, разрешая все источники и передачу cookie с учётными данными вместе с запросом. При 'support_credentials=True' явно перечисляйте разрешённые источники вместо "*".

'support_credentials=True' 与 'origin="*"' 同时设置是错误的 CORS 配置，会让第三方来源读取敏感数据。此配置下 flask_cors 会在 Access-Control-Allow-Origin 头中动态回显每个请求的 Origin，等于放行所有来源并允许 Cookie 和凭据随请求发送。设置 'support_credentials=True' 时请明确列出允许的来源，不要用 "*"。

'support_credentials=True' 與 'origin="*"' 同時設定是錯誤的 CORS 設定，會讓第三方來源讀取敏感資料。此設定下 flask_cors 會在 Access-Control-Allow-Origin 標頭中動態回顯每個請求的 Origin，等於放行所有來源並允許 Cookie 和憑證隨請求傳送。設定 'support_credentials=True' 時請明確列出允許的來源，不要用 "*"。