偵測

登入表單跨網站要求偽造

low Web App Scanning Plugin ID 113332

語系：

概要

登入表單跨網站要求偽造

說明

使用者遭誘騙而按一下連結時，該連結會在未經使用者同意的情況下自動提交要求，此時會發生跨網站要求偽造 (CSRF) 攻擊。

如果要求不包含防禦 CSRF 權杖 (每次造訪要求會產生此權杖並在提交要求時傳遞)，並且 Web 應用程式後端可使用此權杖來驗證要求是否源自合法使用者，就可能會發生此攻擊。

利用容易受到跨網站要求偽造攻擊的要求時，需要具有不同的因素：

- 此要求必須執行敏感動作。

- 攻擊者必須讓受害者按一下連結，以便在未經同意的情況下傳送此要求。

在大多數情況下，利用此弱點造成的影響非常有限。但是，如果應用程式也容易受到跨網站指令碼弱點影響，則可以造成複雜的狀況。

解決方案

更新應用程式，在此登入表單上新增防禦 CSRF 權杖支援。
多數 Web 架構提供內建解決方案，或具有可用來輕鬆將這些權杖新增至任何表單的外掛程式。參閱針對大多數已知架構提供的可能解決方案的參考資料。

另請參閱

http://en.wikipedia.org/wiki/Cross-site_request_forgery

http://www.cgisecurity.com/csrf-faq.html

https://codex.wordpress.org/WordPress_Nonces

https://docs.djangoproject.com/en/1.11/ref/csrf/

https://docs.joomla.org/How_to_add_CSRF_anti-spoofing_to_forms

https://symfony.com/doc/current/form/csrf_protection.html

https://www.drupal.org/docs/7/security/writing-secure-code/create-forms-in-a-safe-way-to-avoid-cross-site-request-forgeries

https://www.nccgroup.trust/globalassets/our-research/us/whitepapers/csrf_paper.pdf

https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)

https://www.owasp.org/index.php/Testing_for_CSRF_(OTG-SESS-005)

Plugin 詳細資訊

嚴重性: Low

ID: 113332

類型: remote

已發布: 2022/8/8

已更新: 2023/1/17

掃描範本: full, pci, scan

風險資訊

VPR

風險因素: Low

分數: 2.9

CVSS v2

風險因素: Low

基本分數: 2.6

媒介: CVSS2#AV:N/AC:H/Au:N/C:N/I:P/A:N

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Low

基本分數: 3.1

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N

CVSS 評分資料來源: Tenable

參考資訊