Cookie Security: Overly Broad Session Cookie Domain

セッション cookie のドメインがあまりに広範にわたっていると、ベース ドメインを共有している別のアプリケーション経由で攻撃を受ける可能性があります。

開発者はベースドメインに「.example.com」などのセッション cookie を設定する傾向にあります。この方法では同じベース ドメインおよびサブドメイン上にあるすべての Web アプリケーションがそのセッション cookie にアクセスできてしまいます。アプリケーション間でセッション cookie を共有すると、1 個のアプリケーションに存在する脆弱性が別のアプリケーションに影響を及ぼす可能性があります。

例 1:http://secure.example.com/ に安全なアプリケーションを配置していると考えてみましょう。このアプリケーションでは、ユーザーがログインすると、ドメインが「.example.com」であるセッションの cookie が設定されます。

例：

session_set_cookie_params(0, "/", ".example.com", true, true);

安全性の劣る別のアプリケーションが http://insecure.example.com/ に配置されていて、このアプリケーションに Cross-Site Scripting の脆弱性が存在するとします。http://secure.example.com に認証されているユーザーが http://insecure.example.com にアクセスすると、http://secure.example.com から送信されるセッション cookie が漏洩する可能性があります。