CORS misconfiguration（CORS の設定ミス）
API の CORS（オリジン間リソース共有）設定が緩すぎて、攻撃者のサイトが被害者のブラウザ上で API のレスポンスを読めてしまう状態。同一オリジンポリシーがあっても機密データが漏れかねない、よくある Web の脆弱性。
背景：ブラウザの「同一オリジンポリシー」は通常、evil.com のページが bank.com のレスポンスを読むことを防ぐ。CORS は（正当な API のために）これを意図的に緩める仕組みだが、設定を誤れば穴になる。典型的な間違いは、どんな Origin でもそのまま返す Access-Control-Allow-Origin（Allow-Credentials: true と組み合わさると、あらゆるサイトが認証付きリクエストを送ってレスポンスを読める）、機密性の高いエンドポイントでのワイルドカード *、null オリジンの信頼である。結果として、被害者が訪れた攻撃者のページが、脆弱な API から被害者のデータを読み取れる。対策は、信頼できるオリジンの厳格な許可リストだけを認めること、認証情報とワイルドカードを決して併用しないこと、Origin ヘッダーを慎重に検証することだ。OWASP でもよく挙がる指摘で、CSRF トークンやセキュリティの設定ミスと関連が深い。