Пример отчёта · учебные данные

Это пример отчёта, а не проверка реального приложения.

demo.example

Критические

Высокие

Средние

Незначительные

Поиск проблемУровень рискаКатегорияИнструкции для

2 из 2 проблем

высокийВход и доступ

Токен входа без подписи: JWT alg:none

В примере JavaScript найден неподписанный токен. Его приём сервером не проверялся.

Почему это важно

В коде найден JWT с alg:none, то есть без подписи. Если сервер принимает такой токен, злоумышленник может подделать пользователя или права. Токен только прочитан из кода; его приём сервером не проверялся.

Доказательства

Example /assets/app.js — JWT header: { "alg": "none" }. Token: [redacted].

Достоверность и подтверждение

Детектор не указал достоверность. Уровень риска сам по себе не доказывает возможность эксплуатации.

Как исправить · Общие инструкции

1) Найдите серверную проверку JWT. 2) Задайте явный список допустимых алгоритмов и не доверяйте alg из заголовка токена. 3) Убедитесь, что alg:none отклоняется. 4) Смените ключи подписи, если неподписанные токены могли приниматься.

Пример кода · jsonwebtoken (Node)

Always pass an explicit algorithms allow-list — this is what rejects "alg:none".

import jwt from "jsonwebtoken";

// ❌ Vulnerable: no algorithms list — "alg":"none" tokens slip through
const claims = jwt.verify(token, secret);

// ✅ Fixed: pin the algorithm; an unsigned/none token is rejected
const claims = jwt.verify(token, secret, { algorithms: ["HS256"] });

Проверьте исправление

Внесите исправление и повторите проверку с той же областью анализа. Изучите доказательства и полноту проверки. Отчёт отражает состояние на момент запуска: копирование инструкции или новый запуск не означают, что проблема исправлена.

высокийВход и доступ

Токен входа без подписи: JWT alg:none

В примере JavaScript найден неподписанный токен. Его приём сервером не проверялся.

Почему это важно

Доказательства

Example /assets/app.js — JWT header: { "alg": "none" }. Token: [redacted].

Достоверность и подтверждение

Детектор не указал достоверность. Уровень риска сам по себе не доказывает возможность эксплуатации.

Как исправить · Общие инструкции

1) Найдите серверную проверку JWT. 2) Задайте явный список допустимых алгоритмов и не доверяйте alg из заголовка токена. 3) Убедитесь, что alg:none отклоняется. 4) Смените ключи подписи, если неподписанные токены могли приниматься.

Пример кода · jsonwebtoken (Node)

Always pass an explicit algorithms allow-list — this is what rejects "alg:none".

import jwt from "jsonwebtoken";

// ❌ Vulnerable: no algorithms list — "alg":"none" tokens slip through
const claims = jwt.verify(token, secret);

// ✅ Fixed: pin the algorithm; an unsigned/none token is rejected
const claims = jwt.verify(token, secret, { algorithms: ["HS256"] });

Проверьте исправление

высокийВход и доступ

Токен входа без подписи: JWT alg:none

В примере JavaScript найден неподписанный токен. Его приём сервером не проверялся.

Почему это важно

Доказательства

Example /assets/app.js — JWT header: { "alg": "none" }. Token: [redacted].

Достоверность и подтверждение

Детектор не указал достоверность. Уровень риска сам по себе не доказывает возможность эксплуатации.

Как исправить · Общие инструкции

1) Найдите серверную проверку JWT. 2) Задайте явный список допустимых алгоритмов и не доверяйте alg из заголовка токена. 3) Убедитесь, что alg:none отклоняется. 4) Смените ключи подписи, если неподписанные токены могли приниматься.

Пример кода · jsonwebtoken (Node)

Always pass an explicit algorithms allow-list — this is what rejects "alg:none".

import jwt from "jsonwebtoken";

// ❌ Vulnerable: no algorithms list — "alg":"none" tokens slip through
const claims = jwt.verify(token, secret);

// ✅ Fixed: pin the algorithm; an unsigned/none token is rejected
const claims = jwt.verify(token, secret, { algorithms: ["HS256"] });

Проверьте исправление

среднийЗащита сайта

Политика Content-Security-Policy ослаблена

Политика в примере ответа разрешает unsafe-eval.

Почему это важно

Политика содержит unsafe-eval, что снижает защиту от внедрения скриптов (XSS). Надёжность CSP зависит от разрешённых источников и способов выполнения кода.

Доказательства

Example header: script-src 'self' 'unsafe-eval'

Достоверность и подтверждение

Детектор не указал достоверность. Уровень риска сам по себе не доказывает возможность эксплуатации.

Как исправить · Общие инструкции

Уберите unsafe-inline, unsafe-eval и широкие * из script-src/default-src. Для необходимых встроенных скриптов используйте nonce для каждого ответа или хеши содержимого.

Пример кода · Strong CSP header

A nonce-based policy — every inline <script> must carry the matching nonce.

Content-Security-Policy:
  default-src 'self';
  script-src 'self' 'nonce-{RANDOM_PER_REQUEST}' 'strict-dynamic';
  object-src 'none';
  base-uri 'none';
  frame-ancestors 'none';

Проверьте исправление

Что проверено

Проверка JWT

Проблем найдено: 1

Выполнено

Заголовки безопасности

Проблем найдено: 1

Выполнено

Поиск секретов

В области этой проверки проблем не найдено.

Выполнено

Проверка TLS

Пример: время проверки TLS истекло.

Время ожидания истекло

Gitleaks

Пример: дополнительный анализатор не включён.

Пропущено

Область проверки и примечания

Учебный пример. Реальные приложения, ключи и данные пользователей не используются.