ログインフォームの Cross-Site Request Forgery

low Web App Scanning プラグイン ID 113332

Language:

概要

ログインフォーム Cross-Site Request Forgery

説明

Cross Site Request Forgery (CSRF) は、ユーザーが騙されてリンクをクリックするときに発生し、ユーザーの同意なしにリクエストが自動的に送信されます。

これは、リクエストに CSRF 防止トークンが含まれていない場合に可能になり、リクエストの送信時にリクエストがアクセスされて渡されるたびに生成されます。これは、Web アプリケーションのバックエンドが、リクエストの発信元が正当なユーザーであることを確認するために使用できるものです。

Cross-Site Request Forgery に脆弱なリクエストを悪用することには、さまざまな要素が必要です。

- リクエストは、ある種の機密アクションを実行する必要があります。

- 悪意のあるユーザーが被害者の同意なしにリクエストを送信するためには、被害者にリンクをクリックさせる必要があります。

この脆弱性の悪用による影響はほとんどありません。ただし、アプリケーションもクロスサイトスクリプティングに対して脆弱な場合、複雑なシナリオが作成される可能性があります。

ソリューション

このログインフォームで CSRF 対策トークンのサポートを追加して、アプリケーションを更新してください。
ほとんどの Web フレームワークでは、ビルトインソリューションを提供するか、これらのトークンを任意のフォームに簡単に追加できるプラグインを用意しています。最も知られているフレームワーク向けに提供されている可能性のあるソリューションを参考文献で確認してください。