界: Encapsulation

封裝是要劃定清楚的界限。在網頁瀏覽器中，這可能意味著確保您的行動程式碼不會被其他行動程式碼濫用。在伺服器上，這可能意味著區分經過驗證的資料與未經驗證的資料、區分一個使用者的資料與另一個使用者的資料，或區分允許使用者查看的資料與不允許查看的資料。

JavaScript Hijacking: JSONP

C#/VB.NET/ASP.NET
Scala

Abstract

JSONP 是一種不安全的通訊技術，只有在不會涉及任何個人或敏感資料且處理收回 (callback) 函數時才應該使用。

Explanation

JSONP 在設計上，會允許執行跨網域要求，但缺乏限制和驗證要求來源的任何機制。惡意網站可代表使用者輕易執行 JSONP 要求並處理 JSON 回應。基於這個原因，極力建議您在傳送 PII 或敏感資料時，避免使用此通訊技術。
JSONP 在設計上是一種自我強加 XSS 攻擊，因為收回 (callback) 函數名稱需要反映給要求網站，才能正確進行 JSON 處理。為了避免 JavaScript 注入，必須要驗證和處理收回 (callback) 函數。JSONP 在設計上是一種自我強加 XSS 攻擊，因為收回 (callback) 函數名稱需要反映給要求網站，才能正確進行 JSON 處理。

References

[1] Standards Mapping - Common Weakness Enumeration CWE ID 346

[2] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001167

[3] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[4] Standards Mapping - NIST Special Publication 800-53 Revision 4 SC-18 Mobile Code (P2)

[5] Standards Mapping - NIST Special Publication 800-53 Revision 5 SC-18 Mobile Code

[6] Standards Mapping - OWASP Application Security Verification Standard 4.0 3.5.3 Token-based Session Management (L2 L3), 5.3.6 Output Encoding and Injection Prevention Requirements (L1 L2 L3), 14.5.2 Validate HTTP Request Header Requirements (L1 L2 L3), 14.5.3 Validate HTTP Request Header Requirements (L1 L2 L3)

[7] Standards Mapping - OWASP Mobile 2014 M4 Unintended Data Leakage

[8] Standards Mapping - OWASP Top 10 2021 A07 Identification and Authentication Failures

[9] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-003300 CAT II

[10] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-003300 CAT II

[11] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-003300 CAT II

[12] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-003300 CAT II

[13] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-003300 CAT II

[14] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-003300 CAT II

[15] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-003300 CAT II

[16] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-003300 CAT II

[17] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-003300 CAT II

[18] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-003300 CAT II

[19] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-003300 CAT II

[20] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-003300 CAT II

[21] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-003300 CAT II

[22] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-003300 CAT II

[23] Standards Mapping - Web Application Security Consortium Version 2.00 Information Leakage (WASC-13)

[24] Standards Mapping - Web Application Security Consortium 24 + 2 Information Leakage

desc.semantic.dotnet.javascript_hijacking_jsonp

Abstract

JSONP 是一種不安全的通訊技術，僅應在不會涉及任何個人或敏感資料時使用。

Explanation

JSONP 在設計上，會允許執行跨網域要求，但缺乏限制和驗證要求來源的任何機制。惡意網站可代表使用者輕易執行 JSONP 要求並處理 JSON 回應。基於這個原因，極力建議您在傳送 PII 或敏感資料時，避免使用此通訊技術。