> For the complete documentation index, see [llms.txt](https://sharpforce.gitbook.io/cybersecurity/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://sharpforce.gitbook.io/cybersecurity/walkthroughs/deliberately-vulnerable/cors-vulnerable-lab/application-has-bad-regex-implementation-to-check-trusted-origin.md).
# Application has bad "regex" Implementation to check Trusted Origin
Le second challenge propose une mauvaise configuration causée par l'utilisation d'une regex trop permissive :
En effet, il suffit simplement que le site (le nom de domaine) demandant la ressource possède l'occurrence `b0x.com` pour être autorisé à accéder Sans cela, la requête sera bloquée par CORS :
Pour simuler un nom de domaine malicieux mais contenant l'occurrence souhaité, je modifie mon fichier `/etc/hosts` :
```
192.168.56.182 maliciousb0x.com
```
Le script hébergé sur le serveur malicieux reste le même que pour le précédent challenge :
```markup
CORS vulnerable lab - Bad regex implementation
```
Le contenu du site vulnérable s'affiche bien dans la console lorsque la victime visite la page malicieuse :
La réponse lors de l'accès à la ressource contient bien l'entête CORS attendu :
