נתיבי אדמין חשופים באפליקציית Cursor
Cursor הוא עורך קוד עם AI - הסטאק כולו בבעלותך, והפריסה הנפוצה היא Vercel או Netlify.
מה הבעיה
נתיבים כמו /admin, /dashboard או /api/admin שנגישים בלי אימות, או שמסתמכים על "אף אחד לא יודע את הכתובת".
למה זה מסוכן
כלים אוטומטיים מנחשים את הנתיבים האלה תוך שניות. ממשק אדמין פתוח הוא השתלטות מלאה על האפליקציה.
איפה זה מתוקן ב-Cursor
סודות יושבים ב-.env מקומי שלא נכנס ל-git, ובהגדרות הסביבה של פלטפורמת הפריסה. כל מפתח שמיובא לקוד client הופך ציבורי.
שלבי התיקון
- הוסף בדיקת אימות והרשאה בצד השרת על כל נתיב ניהולי - לא רק הסתרה בתפריט
- ודא שגם ה-API שמאחורי הממשק בודק הרשאות, לא רק הדף עצמו
ההנחיה להדביק ב-Cursor
העתק את ההנחיה הבאה לכלי שבנה את האפליקציה (באנגלית - כך הכלים עובדים הכי טוב):
Protect every admin route and its backing API endpoints with server-side authentication and authorization checks - hiding the link is not protection.
איך מוודאים שהתיקון עבד
סריקה חוזרת מבקשת את הנתיבים הניהוליים הנפוצים ומוודאת שהם דורשים התחברות.
עוד בנושא
בדיקה חינם
רוצה לדעת אם האפליקציה שלך חשופה? סרוק בחינם ב-30 שניות וקבל ציון אבטחה + הוראות תיקון.