Link Reset Password Memerlukan Origin Publik yang Tepercaya
Link Reset Password Memerlukan Origin Publik yang Tepercaya Email reset password sering memuat salah satu URL paling sensitif yang dibuat aplikasi. Kepemilikan token reset yang valid dapat cukup untuk menetapkan kredensial baru bagi akun terkait, sehingga tujuan yang ditanamkan pada URL tersebut merupakan bagian dari batas keamanan. Kesalahan implementasi yang umum adalah membentuk URL reset absolut dari informasi host pada HTTP request yang masuk. Header seperti Host digunakan untuk routing request, sedangkan deployment di belakang proxy juga dapat mengekspos metadata host atau scheme yang diteruskan. Kecuali aplikasi telah menetapkan secara eksplisit intermediary mana yang dipercaya dan nilai mana yang valid, metadata request tersebut bukan sumber otoritas yang aman untuk link keluar yang sensitif terhadap keamanan.