Lightning Loader API-versjon

Navn på kontroll

Lightning Loader API-versjon

Anbefalt konfigurasjon

• Bruk sikkerhetsforbedringer i API-versjon – velg den nyeste API-versjonen der komponentene fungerte riktig

Oppsett>Øktinnstillinger>Lightning Locker API-versjon.

Oversikt over kontroll

Aktivering av den nyeste Lightning Locker API-versjonen er en sikkerhetskontroll som sikrer at alle Lightning i organisasjonen styres av de nyeste sikkerhetsoppdateringene og arkitektoniske forbedringene som leveres av Salesforce. Ved å velge den gjeldende versjonen i Øktinnstillinger tvinger administratorer komponenter til å overholde de nyeste beskyttelsene på nettlesernivå, som raffinert DOM-isolasjon og avbøyninger av skripting på tvers av nettsteder (XSS), slik at selv eldre komponenter kan dra nytte av moderne strategier for dybdeforsvar.

Sikkerhetsrisiko hvis ikke konfigurert

Hvis du ikke aktiverer den nyeste Lightning Locker API-versjonen, blir organisasjonen utsatt for kjente sikkerhetssårbarheter og XSS-risikoer.

Trusselscenarier

I et miljø som kjører en utdatert Lightning Locker API-versjon, kan en trusselaktør eller en skadelig administrert pakke utnytte kjente, ikke-oppdaterte sårbarheter som er strengt blokkert i de nyeste versjonene. Ved å benytte disse eldre, mindre restriktive sikkerhetsreglene kan angriperen utføre vilkårlig JavaScript for å omgå DOM-isolering, slik at de stille kan skrape sensitive data fra andre komponenter eller kapre brukerøkten uten deteksjon.

Beregnet CVSS Score-område

Kritisk (9.0–10.0).

Viktige punkter om risikoinnvirkning

Den primære risikoinnvirkningen er å gjøre organisasjonen sårbar for kjente, oppdaterte sikkerhetsfeil samtidig som sannsynligheten for ytelsesforringelse og integrasjonsfeil øker etter hvert som eldre isoleringsregler blir usynkronisert med moderne nettlesersikkerhetsstandarder.

Høyere risiko når

Risikoen for datautfiltrering forsterkes betydelig av tillatte innholdssikkerhetspolicy (CSP) eller CORS-konfigurasjoner, som utilsiktet kan tillate uautoriserte skript å kjøre eller gi en klar bane for sending av stjålne data til skadelige eksterne domener.

Lav eller ingen risiko når

For å redusere risikoen når den nyeste Lightning Locker API-versjonen ennå ikke er aktivert, bør organisasjoner implementere en streng innholdssikkerhetspolicy (CSP) for å hindre utføring av uautoriserte skript og blokkere datafiltrering til ikke-klarerte domener.

Viktige punkter om virksomheten og integrasjonen

Implementering av den nyeste Lightning Locker API-versjonen krever grundig regresjonstesting i en Sandbox-organisasjon for å sikre at tilpassede komponenter og tredjeparts administrerte pakker forblir kompatible med oppdaterte sikkerhetsrestriksjoner – som strengere HTML-renering og blokkerte JavaScript-API-er – som ellers kan føre til funksjonsavbrudd eller kjøretidsfeil.

Anbefalt rettelse

Aktiver den nyeste API-versjonen. Lightning Locker forbedrer sikkerheten med hver API-oppdatering.

Veiledning for vurdering av sikkerhetstilstand

Ikke relevant - For øyeblikket ikke inspisert av verktøyet Sikkerhetstilstandsvurdering.