Content-Type ヘッダの欠落

説明

Content-Type ヘッダはユーザーエージェントが受信したデータを正しく解釈することを保証します。このヘッダが送信されないと、ブラウザはデータを誤って解釈し、MIME 混乱攻撃につながる可能性があります。攻撃者がブラウザを使ってアクセス可能なファイルをアップロードできた場合、HTML として解釈される可能性のあるファイルをアップロードし、クロスサイトスクリプティング(XSS) 攻撃を実行する可能性があります。

対処法

すべてのリソースがその形式に合った適切なContent-Type ヘッダを返すようにしてください。例として、JavaScript ファイルを返す場合、レスポンスヘッダは次のようにします：Content-Type: application/javascript

さらに保護するために、ユーザーエージェントがリソースを誤って解釈しないように、すべてのリソースがX-Content-Type-Options: nosniff ヘッダを返すことを推奨します。

詳細

ID集計CWE種類リスク
16.1true16受動的低