La URL leakage è l'esposizione involontaria di dati sensibili attraverso un indirizzo web, una catena di reindirizzamento o un link generato da un sistema. Spesso accade quando token, indirizzi email, identificatori di file o parametri di query vengono inseriti nell'URL invece di essere mantenuti in intestazioni, cookie o nello stato lato server. Poiché gli URL vengono copiati nella cronologia del browser, nei log, negli analytics, nei segnalibri e nelle intestazioni di referrer, i valori esposti possono diffondersi ben oltre la richiesta originale.
Nella sicurezza informatica, la URL leakage è importante perché può rivelare agli aggressori e a terze parti record privati, token di sessione, percorsi interni o dettagli dei flussi di lavoro. In attacchi reali, un agente, un'app o uno script può seguire un link, aprire un reindirizzamento o trasmettere un URL a un altro servizio e divulgare accidentalmente dati. I difensori riducono il rischio evitando dati sensibili negli URL, convalidando i reindirizzamenti, rimuovendo i segreti dai log, usando token a breve durata e verificando come gli strumenti automatizzati gestiscono la navigazione e la condivisione.