HttpOnly フラグが検出されない Cookie

low Web App Scanning プラグイン ID 98063

Language:

概要

説明

HttpOnly フラグは、クライアントサイドスクリプト (JavaScript など) が Cookie にアクセスして使用するのを防ぎます。

これは、XSS 攻撃がクライアントのセッショントークンを保持している Cookie を標的とすることを防ぎます (HttpOnly フラグの設定によって、XSS の脆弱性自体が防止されたり、保護されたりすることはありません)。

ソリューション

これを修正する最初の手順は、クライアント側のスクリプト (JavaScript など) が Cookie にアクセスする必要があるかどうかを判断し、アクセスしない場合は HttpOnly フラグを設定することです。
注意: 古いブラウザの中には、HttpOnly フラグと互換性のないものがあります。その場合、このフラグを設定しても、これらのクライアントはこの形式の攻撃から保護されません。