Laravel : quand Ziggy expose la carte complète de votre application
Ziggy : l'outil pratique devenu faille
Ziggy génère un objet JavaScript contenant TOUTES les routes de votre application Laravel. Pratique pour les développeurs frontend. Problème : sur les pages non authentifiées, cet objet expose l'intégralité de votre architecture.
Ce qu'un attaquant apprend
Combiné avec d'autres failles
Sur un audit récent, l'exposition Ziggy + un endpoint ACF non authentifié a révélé 244 routes internes et des clés API stockées dans les champs de configuration WordPress.
Comment corriger
only ou except)/api n'est pas listé dans les routes publiquesArticles liés
Trois analyses proches pour continuer la lecture sur la meme surface de risque.
Supabase RLS : 5 erreurs de configuration que nous trouvons chaque semaine
Les politiques Row Level Security de Supabase sont la première ligne de défense. Voici les 5 erreurs les plus fréquentes.
WordPress REST API : les 7 endpoints dangereux activés par défaut
Votre WordPress expose des données sensibles via la REST API sans que vous le sachiez. Voici les 7 endpoints à vérifier immédiatement.
Firebase Firestore : pourquoi 'allow read, write: if request.auth != null' n'est pas une sécurité
La règle d'authentification basique de Firestore ne protège pas vos données. Voici pourquoi et comment corriger.
Sources
Analyse éditoriale fondée sur la documentation officielle des éditeurs, projets et autorités concernées.
Services associés
Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.