Reino: Encapsulation

La encapsulación consiste en crear límites fuertes. En un explorador web esto puede suponer la seguridad de que tu codificación móvil no se vea comprometido por otro código móvil. En el servidor puede significar la diferenciación entre los datos validados y los que no lo están, entre los datos de un usuario y los de otro, o entre los diferentes usuarios, los datos que pueden ver y los que no.

Hardcoded Domain in HTML

Universal

Abstract

Si se incluye un script de otro dominio, la seguridad de esta página web dependerá de la seguridad del otro dominio.

Explanation

Incluir contenido ejecutable de otro sitio web es una proposición arriesgada. Vincula la seguridad de nuestro sitio con la seguridad del otro sitio.

Ejemplo: Observe la siguiente etiqueta script.


  <script src="http://www.example.com/js/fancyWidget.js"></script>

Si esta etiqueta aparece en otro sitio web distinto de www.example.com, este sitio dependerá de www.example.com para suministrar código válido y malintencionado. Si los atacantes consiguen comprometer www.example.com, podrán alterar el contenido de fancyWidget.js para trastornar la seguridad del sitio. Podrían, por ejemplo, añadir código a fancyWidget.js para robar los datos confidenciales de un usuario.

References

[1] Standards Mapping - CIS Azure Kubernetes Service Benchmark 1.0

[2] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 3.0

[3] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 2

[4] Standards Mapping - CIS Google Kubernetes Engine Benchmark confidentiality

[5] Standards Mapping - CIS Kubernetes Benchmark partial

[6] Standards Mapping - Common Weakness Enumeration CWE ID 494, CWE ID 829

[7] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001167

[8] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[9] Standards Mapping - NIST Special Publication 800-53 Revision 4 SC-18 Mobile Code (P2)

[10] Standards Mapping - NIST Special Publication 800-53 Revision 5 SC-18 Mobile Code

[11] Standards Mapping - OWASP Application Security Verification Standard 4.0 1.14.2 Configuration Architectural Requirements (L2 L3), 5.3.9 Output Encoding and Injection Prevention Requirements (L1 L2 L3), 10.3.2 Deployed Application Integrity Controls (L1 L2 L3), 12.3.3 File Execution Requirements (L1 L2 L3), 12.3.6 File Execution Requirements (L2 L3), 14.2.3 Dependency (L1 L2 L3), 14.2.4 Dependency (L2 L3)

[12] Standards Mapping - OWASP Mobile 2014 M7 Client Side Injection

[13] Standards Mapping - OWASP Mobile 2024 M7 Insufficient Binary Protections

[14] Standards Mapping - OWASP Mobile Application Security Verification Standard 2.0 MASVS-PLATFORM-2

[15] Standards Mapping - SANS Top 25 2009 Risky Resource Management - CWE ID 094

[16] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-003300 CAT II

[17] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-003300 CAT II

[18] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-003300 CAT II

[19] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-003300 CAT II

[20] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-003300 CAT II

[21] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-003300 CAT II

[22] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-003300 CAT II

[23] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-003300 CAT II

[24] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-003300 CAT II

[25] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-003300 CAT II

[26] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-003300 CAT II

[27] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-003300 CAT II

[28] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-003300 CAT II

[29] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-003300 CAT II

[30] Standards Mapping - Web Application Security Consortium Version 2.00 Insufficient Process Validation (WASC-40)

[31] Standards Mapping - Web Application Security Consortium 24 + 2 Insufficient Process Validation

desc.content.html.hardcoded_domain