Reino: Encapsulation

Encapsulamento consiste em traçar limites fortes. Em um navegador web, isso pode significar que seu código para dispositivos móveis não pode ser abusado por outros códigos para dispositivos móveis. No servidor, pode significar a diferenciação entre dados validados e não validados, entre os dados de dois usuários ou entre os dados que os usuários podem ou não acessar.

Hardcoded Domain in HTML

Universal

Abstract

Incluir um script de outro domínio significa que a segurança dessa página da Web depende da segurança do outro domínio.

Explanation

Incluir conteúdo executável de outro site é uma proposta arriscada. Isso vincula a segurança do seu site à segurança do outro site.

Exemplo 1: Considere a seguinte tag script.


  <script src="http://www.example.com/js/fancyWidget.js"></script>

Se essa tag aparecer em um site diferente de www.example.com, esse site dependerá de www.example.com para apresentar o código correto e não mal-intencionado. Se os invasores puderem comprometer www.example.com, eles poderão alterar o conteúdo de fancyWidget.js para corromper a segurança do site. Por exemplo, eles poderiam adicionar código a fancyWidget.js para roubar dados confidenciais de um usuário.

References

[1] Standards Mapping - Common Weakness Enumeration CWE ID 494, CWE ID 829

[2] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001167

[3] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[4] Standards Mapping - NIST Special Publication 800-53 Revision 4 SC-18 Mobile Code (P2)

[5] Standards Mapping - NIST Special Publication 800-53 Revision 5 SC-18 Mobile Code

[6] Standards Mapping - OWASP Application Security Verification Standard 4.0 1.14.2 Configuration Architectural Requirements (L2 L3), 5.3.9 Output Encoding and Injection Prevention Requirements (L1 L2 L3), 10.3.2 Deployed Application Integrity Controls (L1 L2 L3), 12.3.3 File Execution Requirements (L1 L2 L3), 12.3.6 File Execution Requirements (L2 L3), 14.2.3 Dependency (L1 L2 L3), 14.2.4 Dependency (L2 L3)

[7] Standards Mapping - OWASP Mobile 2014 M7 Client Side Injection

[8] Standards Mapping - OWASP Mobile 2024 M7 Insufficient Binary Protections

[9] Standards Mapping - OWASP Mobile Application Security Verification Standard 2.0 MASVS-PLATFORM-2

[10] Standards Mapping - SANS Top 25 2009 Risky Resource Management - CWE ID 094

[11] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-003300 CAT II

[12] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-003300 CAT II

[13] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-003300 CAT II

[14] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-003300 CAT II

[15] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-003300 CAT II

[16] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-003300 CAT II

[17] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-003300 CAT II

[18] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-003300 CAT II

[19] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-003300 CAT II

[20] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-003300 CAT II

[21] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-003300 CAT II

[22] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-003300 CAT II

[23] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-003300 CAT II

[24] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-003300 CAT II

[25] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-003300 CAT II

[26] Standards Mapping - Web Application Security Consortium Version 2.00 Insufficient Process Validation (WASC-40)

[27] Standards Mapping - Web Application Security Consortium 24 + 2 Insufficient Process Validation

desc.content.html.hardcoded_domain