偵測

跨網站要求偽造權杖驗證繞過

medium Web App Scanning Plugin ID 113900

語系：

概要

跨網站要求偽造權杖驗證繞過

說明

跨網站要求偽造 (CSRF) 弱點修復通常依賴 CSRF 權杖的使用，而 CSRF 權杖是 Web 應用程式伺服器和用戶端之間共用且無法預測的敏感值。當執行敏感動作或有權限的動作 (例如提交某些表單) 時，CSRF 權杖是在 HTTP 用戶端要求中傳送，並由伺服器驗證。某些 Web 應用程式可能無法正確驗證 CSRF 權杖，使其仍容易遭受跨網站要求偽造 (CSRF) 攻擊。

解決方案

確認 Web 應用程式使用的 CSRF 權杖經過正確驗證，並且 CSRF 權杖的值無法預測。多數 Web 架構提供內建解決方案，或具有可用來輕鬆將這些權杖新增至任何表單的外掛程式。參閱針對大多數已知架構提供的可能解決方案的參考資料。

另請參閱

http://en.wikipedia.org/wiki/Cross-site_request_forgery

http://www.cgisecurity.com/csrf-faq.html

https://codex.wordpress.org/WordPress_Nonces

https://docs.djangoproject.com/en/1.11/ref/csrf/

https://docs.joomla.org/How_to_add_CSRF_anti-spoofing_to_forms

https://symfony.com/doc/current/form/csrf_protection.html

https://www.drupal.org/docs/7/security/writing-secure-code/create-forms-in-a-safe-way-to-avoid-cross-site-request-forgeries

https://www.nccgroup.trust/globalassets/our-research/us/whitepapers/csrf_paper.pdf

https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)

https://www.owasp.org/index.php/Testing_for_CSRF_(OTG-SESS-005)

Plugin 詳細資訊

嚴重性: Medium

ID: 113900

類型: remote

已發布: 2023/5/31

已更新: 2024/2/2

掃描範本: full, pci, scan

風險資訊

VPR

風險因素: Medium

分數: 4.9

CVSS v2

風險因素: High

基本分數: 7.5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Medium

基本分數: 6.3

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

CVSS 評分資料來源: Tenable

參考資訊