Ultraslann1905 adlı üyeden alıntı: mesajı görüntüle
Site: clewase.com
  • CSP’de unsafe-inline bulunuyor: Tek başına saldırı sağlamaz fakat başka bir HTML/XSS açığı bulunursa savunmayı zayıflatabilir.
  • robots.txt bazı yönetim ve ödeme yollarını açıklıyor: /admin, /api, /payment, /orders gibi yollar görülebiliyor. Bunların mutlaka sunucu tarafında yetki kontrolü olmalı. Bu tek başına açık değildir; ancak saldırganlara uygulama yüzeyi hakkında bilgi verir.
  • CORS başlığı *: Ana sayfa ve giriş sayfasında doğrudan tehlike oluşturmadı. Fakat API uçlarında da kullanılıyorsa ayrıca incelenmeli.
  • Altyapı bilgileri görünüyor: Next.js ve Vercel başlıkları mevcut. Bu düşük seviyeli bilgi ifşasıdır.
  • Supabase kullanılıyor: Açık bir gizli anahtar görmedim; fakat tabloların RLS politikalarını dışarıdan ve veri sorgulamadan doğrulamadım. En önemli iç kontrol noktalarından biri budur.
    DMARC eksik: İki bağımsız DNS kaynağıyla doğruladım. Alan adınızın sahte e-postalarda kullanılmasına karşı korumayı güçlendirin. p=none sadece raporlar; gerçek göndericileri doğruladıktan sonra quarantine/reject aşamasına geçin.
    CSP’de unsafe-inline var: XSS bulduğum anlamına gelmiyor; olası bir enjeksiyona karşı savunmayı zayıflatıyor. Nonce/hash kullanarak kaldırılmalı.

  • 1,000 TL'yi https://www.gaziler.org.tr/online-bagis Malum gaziler haftasındayız Gazilerimize yaparsanız sevinirim

    Bu arada konunuz çok zekice tebrik ederim herkes deniyodur açık var mı diye