إن أكثر الثغرات شيوعاً في تطبيقات الـ AJAX هي بناء واجهات برمجية للتطبيقات (API) غير أمنة، أكبر الأجزاء في تطبيقات الويب كالصفحات البرمجية أياً كان نوعها و إن حوت على الـ JavaScript فإنها تمتلك بحد ذاتها إمكانيات عالية من حيث الصلاحيات و التراخيص إلى حد ما، و مع ذلك يكمن الخطر في استدعاء واجهات التطبيقات البرمجية دون أي مصادقة و نظام أذونات للوصول، و هذا يعني أن الواجهات البرمجية للتطبيقات قد لا تعير اي اهتمام لقيمة الكعكات Cookies التي تدل على العميل و لا حتى إلى معرف الجلسات المخزنة .
الكعكات Cookie :
هي كتلة من المعطيات التي يخزنها مخدم الويب على نظام الزبون. عندما يعود المستخدم إلى ذات الموقع، يعيد المتصفح إرسال نسخة من الكتلة إلى المخدم، تستخدم الكعكات لتعيين هوية المستخدمين، وللإيعاز إلى المخدم بأن يرسل إصداراً مخصصاً من صفحة الويب المطلوبة، و لتقديم معلومات عن حساب المستخدم، و لأسباب أخرى تتعلق بقوامة و حماية النظام .
لنتخيل معاً تطبيقاً بنكياً يستخدم صفحة برمجية صغيرة لعرض ملخص عن جميع حساباتك البنكية و عملياتك المالية فيها من سحب و إيداع و تحويل، عند الضغط على أشارة ” + ” بجانب كل حساب يتم استدعاء الـJavaScript التي تطلب من واجهة التطبيق البرمجية (API) لجلب أخر عمليات مالية على الحساب البنكي و عرضها ضمن مربع يتوسع لذلك، من الثغرات و الأخطاء الشائعة في مثل هذه التطبيقات هو عدم تحقق واجهة التطبيق البرمجية (API) من الجهة (المستعرض) الذي قامت بطلب البيانات، هذا هو بيت القصيد الواجهة البرمجية قامت بقبول رقم الحساب و قامت بإرجاع أخر خمس عمليات مالية عليه من دون التحقق من أن المستعرض لديه الأذن بطلب هذه العمليات المالية لهذا الحساب، مثل هذه الثغرات و الأخطاء و إن كانت واضحة فهي للأسف شائعة جداً .
) .
