C17-T009 · GraphQL, WebSocket et SSE
Cross-Site WebSocket Hijacking
« Cross-Site WebSocket Hijacking » : Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Comment lire le résultat
Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Ce qu’il faut corriger
Modifiez le contrat et les contrôles d’accès du point d’entrée visé ; conservez les usages légitimes de l’API.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C17-T009 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans les routes API, schémas, middleware et contrats clients le réglage ou le parcours associé à « Cross-Site WebSocket Hijacking ». Notez la valeur actuelle et les cas qui en dépendent.
- Modifiez le contrat et les contrôles d’accès du point d’entrée visé ; conservez les usages légitimes de l’API.
- Vérifiez le résultat sur le même périmètre : une requête permise et une requête non autorisée produisent les réponses prévues. Conservez la preuve et relancez C17-T009 dans AxiSecurity.
Preuve attendue
une requête permise et une requête non autorisée produisent les réponses prévues.