[Bug]: 安全问题： 平台没有对cors进行限制，易造成敏感信息泄露

[hwzero]

Description

平台没有对cors进行限制，攻击者修改请求报文的 Origin：值比如www.baidu.com后，平台响应Access-Control-Allow-Origin跟着变成www.baidu.com ，并且Access-Control-Allow-Credentials： 为true ，容易引起用户cookies内敏感信息泄露

修复建议：

1. 增加平台可以cors访问的白名单配置项

Steps To Reproduce 重现步骤

1. 攻击者修改请求报文的 Origin：值比如www.baidu.com后，请求平台正常页面或接口
2. 平台响应Access-Control-Allow-Origin跟着变成www.baidu.com ，并且Access-Control-Allow-Credentials： 为true ，
3. 攻击者可以在构造微页面，在微页面中访问baidu网站，由于cors头部已允许访问baidu.com 并且Access-Control-Allow-Credentials： 为true， 这个请求会把用户cookies信息一起带上发送给baidu.com ，造成用户敏感信息泄露
4. cookies中包含X-Access-Token ，攻击者还能通过此信息在其他地方直接登录系统，造成进一步的信息泄露

Version 版本

2.5~2.7