A8: Cross-Site Request Forgery (CSRF) · 2013
El navegador de una persona autenticada puede ser inducido a enviar una acción no deseada a una aplicación que confía únicamente en sus cookies.
Resumen
El navegador de una persona autenticada puede ser inducido a enviar una acción no deseada a una aplicación que confía únicamente en sus cookies.
Cómo funciona el ataque
Un formulario de otro sitio envía una acción con las cookies de la víctima; el servidor no verifica que la solicitud sea intencional.
Ejemplo
Vulnerable · PseudocódigoPOST /account/email
Cookie: session=alice
email=new@example.test
csrf_token=missingCorrección: Validar un token anti-CSRF ligado a la sesión; usar SameSite y verificar el origen como defensas adicionales.
Prevención
- Usar tokens anti-CSRF vinculados a la sesión.
- Configurar cookies SameSite y comprobar origen cuando corresponda.
- Exigir reautenticación o confirmación para acciones sensibles.
Linaje
- 2013 · A8: Cross-Site Request Forgery (CSRF) Sale del Top 10 en 2017