Cookie Security: HTTPOnly not Set

プログラムが cookie を作成する際に HttpOnly フラグを true に設定していません。

主要なブラウザーでサポートされている HttpOnly cookie プロパティを設定すると、クライアント側のスクリプトが cookie にアクセスすることを防止できます。 Cross-Site Scripting 攻撃では多くの場合、セッション ID や Authentication トークンを盗み出すために cookie にアクセスします。 HttpOnly が有効に設定されていない場合、攻撃者は容易にユーザーの cookie にアクセスできます。
例 1: 次のコードでは、HttpOnly プロパティが設定されずに cookie が作成されています。

    HttpCookie cookie = new HttpCookie("emailCookie", email);
    Response.AppendCookie(cookie);

プログラムが cookie を作成する際に HttpOnly フラグを true に設定していません。

ブラウザーで cookie プロパティ HttpOnly を設定すると、クライアント側のスクリプトが cookie にアクセスすることを防止できます。Cross-Site Scripting 攻撃では多くの場合、セッション ID や Authentication トークンを盗み出すために cookie へアクセスします。HttpOnly を有効にしないと、攻撃者は容易にユーザーの cookie にアクセスできます。
例 1: 次のコードでは、HttpOnly プロパティが設定されずに cookie が作成されています。

cookie := http.Cookie{
  Name:     "emailCookie",
  Value:    email,
}
...

プログラムが cookie を作成する際に HttpOnly フラグを true に設定していません。

主要なブラウザーでサポートされている HttpOnly cookie プロパティを設定すると、クライアント側のスクリプトが cookie にアクセスすることを防止できます。 Cross-Site Scripting 攻撃では多くの場合、セッション ID や Authentication トークンを盗み出すために cookie にアクセスします。 HttpOnly が有効に設定されていない場合、攻撃者は容易にユーザーの cookie にアクセスできます。
例 1: 次のコードでは、httpOnly プロパティが設定されずに cookie が作成されています。

  res.cookie('important_cookie', info, {domain: 'secure.example.com', path: '/admin'});

プログラムが cookie を作成する際に HttpOnly フラグを true に設定していません。

主要なブラウザーでサポートされている HttpOnly cookie プロパティを設定すると、クライアント側のスクリプトが cookie にアクセスすることを防止できます。 Cross-Site Scripting 攻撃では多くの場合、セッション ID や Authentication トークンを盗み出すために cookie にアクセスします。 HttpOnly が有効に設定されていない場合、攻撃者は容易にユーザーの cookie にアクセスできます。
例 1: 次のコードでは、HttpOnly プロパティが設定されずに cookie が作成されています。

setcookie("emailCookie", $email, 0, "/", "www.example.com", TRUE);  //Missing 7th parameter to set HttpOnly

プログラムが cookie を作成する際に HttpOnly フラグを True に設定していません。

ブラウザで HttpOnly cookie プロパティを設定すると、クライアント側のスクリプトが cookie にアクセスすることを防止できます。Cross-Site Scripting 攻撃では多くの場合、セッション ID や Authentication トークンを盗み出すために cookie にアクセスします。HttpOnly が有効に設定されていない場合、攻撃者は容易にユーザーの cookie にアクセスできます。
例 1: 次のコードでは、HttpOnly プロパティが設定されずに cookie が作成されています。

from django.http.response import HttpResponse
...
def view_method(request):
  res = HttpResponse()
  res.set_cookie("emailCookie", email)
  return res
...

プログラムが cookie を作成する際に HttpOnly フラグを true に設定していません。

主要なブラウザーでサポートされている HttpOnly cookie プロパティを設定すると、クライアント側のスクリプトが cookie にアクセスすることを防止できます。 Cross-Site Scripting 攻撃では多くの場合、セッション ID や Authentication トークンを盗み出すために cookie にアクセスします。 HttpOnly が有効に設定されていない場合、攻撃者は容易にユーザーの cookie にアクセスできます。
例 1: 次のコードでは、HttpOnly プロパティが設定されずに cookie が作成されています。

    Ok(Html(command)).withCookies(Cookie("sessionID", sessionID, httpOnly = false))