检测

检测到无 SameSite 标记的 Cookie

low Web App Scanning 插件 ID 115540

语言：

简介

检测到无 SameSite 标记的 Cookie

描述

SameSite 是可在 Cookie 上设置的属性，用于指示 Web 浏览器是否可发送此 Cookie 与跨站请求，以帮助防止跨站请求伪造 (CSRF) 攻击。

该属性具有三个可能的值：

 - Strict：Cookie 将仅在第一方上下文中发送，进而防止从第三方网站发起的包含 Cookie 的跨站请求。

 - Lax：允许在由第三方网站的顶级导航发起的 GET 跨站请求中发送 Cookie。例如，点击来自外部网站的超文本链接会使请求中包含 Cookie。

 - None：cookie 被明确设置为由浏览器在任何上下文中发送。

扫描程序发现，应用程序设置的 Cookie 中缺少 SameSite 属性或存在错误配置。

解决方案

在跨站上下文中处理 Cookie 时，Web 浏览器的默认行为可能会有所不同，进而导致无法预测在此上下文中发送 Cookie 的最终决定。应在每个 Cookie 中设置 SameSite 属性，以强制实现开发人员的预期结果。使用“None”属性值时，请确保还为 Cookie 设置了“Secure”标记。

另见

https://blog.chromium.org/2019/10/developers-get-ready-for-new.html

https://cheatsheetseries.owasp.org/cheatsheets/Cross-Site_Request_Forgery_Prevention_Cheat_Sheet.html#samesite-cookie-attribute

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Set-Cookie/SameSite

https://web.dev/samesite-cookies-explained

插件详情

严重性: Low

ID: 115540

类型: remote

发布时间: 2018/12/14

最近更新时间: 2023/12/11

扫描模板: basic, config_audit, full, overview, pci, quick, scan

风险信息

VPR

风险因素: Low

分数: 2.2

CVSS v2

风险因素: Low

基本分数: 2.6

矢量: CVSS2#AV:N/AC:H/Au:N/C:P/I:N/A:N

CVSS 分数来源: Tenable

CVSS v3

风险因素: Low

基本分数: 3.1

矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N

CVSS 分数来源: Tenable

参考资料信息