リモート Web アプリケーションが、ユーザーの認証済みおよび非認証済みのセッションを通じて、さまざまなクッキーを設定します。ただし、そうしたクッキーの 1 つ以上が「HttpOnly」とマークされておらず、JavaScript などの悪意のあるクライアントサイドのスクリプトが、それらを読み取れることを意味します。HttpOnly フラグは、クロスサイトスクリプティング攻撃に対して保護するためのセキュリティメカニズムであり、Microsoft によって提案され、最初は Internet Explorer で実装されていました。すべての最新のブラウザは、現在それをサポートしています。

注意：このプラグインは HttpOnly クッキーフラグがないすべての一般的なクッキーを検出します。一方、プラグイン 48432（Web アプリケーションセッションが HttpOnly とマークされていません）は HttpOnly クッキーフラグのない認証済みセッションからだけセッションクッキーを検出します。

検出

Web アプリケーションクッキーが HttpOnly とマークされていません

info Nessus プラグイン ID 85601

変更ログが見つかりません