見つからない X-Content-Type-Options: nosniff
説明
nosniff の値を持つX-Content-Type-Options ヘッダは、ユーザーエージェントが受信されるデータの フォーマットを推測しようとしないことを保証します。ブラウザのようなユーザーエージェントは、一般的に MIME タイプスニッフィングと呼ばれるプロセスを通して、リクエストされたリソースのタイプを推測しようとします。
このヘッダが送信されないと、ブラウザはデータを誤って解釈し、MIME混乱攻撃につながるかもしれません。攻撃者がブラウザを使ってアクセス可能なファイルをアップロードできた場合、HTML として解釈されるファイルをアップロードし、クロスサイトスクリプティング(XSS) 攻撃を実行する可能性があります。
対処法
X-Content-Type-Options: nosniff のヘッダと値をサーバ全体で設定することを推奨します。これにより、誤ってContent-Type の値を欠いたリソースが誤って解釈されることがなくなります。
詳細
| ID | 集計 | CWE | 種類 | リスク |
|---|---|---|---|---|
| 693.1 | true | 693 | 受動的 | 低 |