Cookie Security: Overly Broad Session Cookie Domain

共用同一個基礎網域的應用程式可攻擊網域範圍過大的工作階段 Cookie。

開發人員通常會將階段作業 Cookie 設為基礎網域，例如 ".example.com"。這會將工作階段 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。在應用程式間共用 Cookie 可能會使一個應用程式中的弱點，對另一個應用程式造成危害。

範例 1：
想像您已在 http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 Cookie。

例如：

session_set_cookie_params(0, "/", ".example.com", true, true);

假設您在 http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-site scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。