Configuración incorrecta de CORS
Cuando los ajustes de Cross-Origin Resource Sharing de una API son demasiado laxos y permiten que el sitio de un atacante lea las respuestas de la API en el navegador de la víctima. Una vulnerabilidad web común que puede filtrar datos sensibles pese a la política del mismo origen.
Contexto: la "política del mismo origen" del navegador normalmente impide que una página en evil.com lea respuestas de bank.com. CORS es el mecanismo para relajar eso a propósito (para APIs legítimas), pero mal configurado se convierte en un agujero. Errores clásicos: reflejar de vuelta cualquier Origin en Access-Control-Allow-Origin (combinado con Allow-Credentials: true → cualquier sitio puede hacer peticiones autenticadas y leer la respuesta), usar el comodín * en endpoints sensibles, o confiar en el origen null. Consecuencia: la página de un atacante que la víctima visita puede leer los datos de la víctima desde la API vulnerable. Defensa: permitir solo una lista blanca estricta de orígenes de confianza, nunca combinar credenciales con un comodín y validar con cuidado la cabecera Origin. Un hallazgo habitual de OWASP. Relacionado con el token CSRF y la mala configuración de seguridad.