Configuração incorreta de CORS
Quando as configurações de Cross-Origin Resource Sharing de uma API são frouxas demais e permitem que o site de um atacante leia respostas da API no navegador da vítima. Uma vulnerabilidade web comum que pode vazar dados sensíveis mesmo com a same-origin policy em vigor.
Contexto: a "same-origin policy" do navegador normalmente impede que uma página em evil.com leia respostas de bank.com. O CORS é o mecanismo para relaxar isso deliberadamente (para APIs legítimas), mas mal configurado se torna uma brecha. Erros clássicos: refletir de volta qualquer Origin no Access-Control-Allow-Origin (combinado com Allow-Credentials: true → qualquer site pode fazer requisições autenticadas e ler a resposta), usar o wildcard * em endpoints sensíveis, ou confiar na origem null. Consequência: a página de um atacante visitada pela vítima pode ler os dados da vítima na API vulnerável. Defesa: permitir só uma lista estrita de origens confiáveis, nunca combinar credentials com wildcard, e validar o header Origin com cuidado. É um achado comum em relatórios OWASP. Relacionado a CSRF token e configuração incorreta de segurança.