Crítica
CORS refleja Origin con Allow-Credentials en banrep.gov.co
Categoría
CORS permisivo
Confianza
verified
Observado
2026-05-03
OWASP
A05:2021 — Security Misconfiguration
Resumen
Origin: 'https://evil-attacker.tld' reflejado y Allow-Credentials: true. Permite a sitio atacante leer respuestas autenticadas.
Por qué importa
Reflejar el Origin solicitado con Allow-Credentials: true permite a un sitio malicioso hacer requests autenticados como el usuario de la víctima y leer la respuesta. Equivale a anular la same-origin policy.
Evidencia (URL observada)
https://evil-attacker.tldVerificable con `curl -I` o navegador. La metodología es 100% pasiva — solo respuestas HTTP públicas a GETs estándar.
Cómo mitigar
- •Revisar la guía técnica correspondiente a la categoría y aplicar las recomendaciones del estándar OWASP relacionado.