レスポンスヘッダ X-Content-Type-Options が出力されていない。 #48

scubism-tech-share · 2015-03-27T13:48:28Z

概要

X-Content-Type-Options:nosniffが出力されておらず、
クロスサイトスクリプティング等の攻撃被害につながる危険性がある。

レスポンスヘッダ X-Content-Type-Options:nosniff を出力する。

so-amuamu · 2018-07-31T09:46:33Z

対応しましょう
ただし、「PDF生成→画面表示」などで影響が無いか、各ブラウザで念のため確認した方が良いですね
（これに対応すると、正しくContent-Typeを吐いてない場合に影響が出ます。）

fix #48 #49 ヘッダーの追加

so-amuamu · 2018-08-02T05:32:42Z

htaccessでは対応不十分と思われるのでreopenします
動作環境に依存しないよう、PHPからヘッダ出力するようにしないと駄目かなと

- see also - EC-CUBE#48 - EC-CUBE#49 - EC-CUBE#206 - X-Frame-Options DENY の影響で phpinfo が表示されなかったのを修正

nanasess · 2019-10-30T01:34:09Z

#275 で修正済み

Yangsin added the bug label Sep 22, 2015

ryo-endo added this to the 2.17.0 milestone Oct 26, 2017

so-amuamu added bug:Middle and removed bug labels Jul 31, 2018

kiy0taka closed this as completed in 1ee0b3f Aug 2, 2018

kiy0taka added a commit that referenced this issue Aug 2, 2018

Merge pull request #206 from nobuhiko/fix#48

c320e04

fix #48 #49 ヘッダーの追加

so-amuamu reopened this Aug 2, 2018

so-amuamu mentioned this issue Aug 2, 2018

レスポンスヘッダ X-XSS-Protection が出力されていない。 #49

Closed

nanasess mentioned this issue May 31, 2019

セキュリティ関連のヘッダ出力を PHP から送信するよう修正 #275

Merged

nanasess closed this as completed Oct 30, 2019