Misconfigured Access-Control-Allow-Origin Header

根据提供的引用内容，当Access-Control-Allow-Origin头部设置为特定域名（例如example.com）并且Access-Control-Allow-Credentials头部设置为true时，就会出现CORS（跨源资源共享）漏洞。这种配置错误允许攻击者通过在恶意网站上注入脚本来访问受限制的资源。

以下是一个示例，展示了如何利用Misconfigured Access-Control-Allow-Origin Header漏洞：

// 恶意网站上的攻击脚本
var xhr = new XMLHttpRequest();
xhr.open('GET', 'https://example.com/secure-resource', true);
xhr.withCredentials = true;
xhr.onreadystatechange = function() {
  if (xhr.readyState === 4 && xhr.status === 200) {
    // 攻击者可以访问受限制的资源并获取敏感信息
    console.log(xhr.responseText);
  }
};
xhr.send();

在上述示例中，攻击者在恶意网站上使用XMLHttpRequest对象发送GET请求，访问了example.com域下的一个受限制的资源。由于Access-Control-Allow-Origin头部设置为example.com，并且Access-Control-Allow-Credentials头部设置为true，攻击者可以成功获取到该资源的响应内容。

为了防止这种漏洞，应该正确配置Access-Control-Allow-Origin头部，只允许受信任的域名访问资源，并且不应该将Access-Control-Allow-Credentials头部设置为true，除非确实需要使用凭据进行跨域请求。