Cuando un script de terceros ejecutado dentro del mismo sitio para fines de seguimiento crea una cookie de seguimiento o persistente con mayor frecuencia como supercookie en * .example.com Google Analytics es un ejemplo, pero nunca creará valores de cookie con doble codificación, pero a menudo he visto que otros proveedores tienen errores como los valores de cookie con doble codificación como http% 253A% 252F% 252F
El artículo no explica mucho sobre qué factores de riesgo existen: enlace
RFC6265 no es tan estricto: El servidor de origen es libre de ignorar el encabezado de la cookie. y la sintaxis 4.1.1 permite%, por ej. La codificación basada en URI se ajusta en la cual, por RFC para URI, solo debe codificarse una vez. Otro ejemplo es JSON doble URI codificado
A medida que clasificamos este tipo de cookie no se usa en ningún contexto de servidor, aparte de enviarla de vuelta al cliente. Según el contexto del cliente en el que se utiliza, puede crear XSS, pero también los complementos basados en navegador pueden agregar una cookie que cae en la misma clasificación, MITM puede alterar la cookie o el secuestro de cookies de http- > 301- > https a través de WIFI etc.
Se supone que HTTPS está en su lugar y se envían todos los demás encabezados de seguridad ¿Son estas delicias reales y cuáles son los riesgos y las implicaciones de seguridad de permitir valores de cookie con doble codificación?