Seguridad · Pregunta 2 de 12
¿Qué es el Cross-Site Request Forgery (CSRF)?
1 respuesta es correcta. Fácil
Mostrar solución
Solución
- D Un sitio web ajeno hace que el navegador de un usuario con sesión iniciada realice una acción sin querer
Explicación
Con CSRF, el atacante aprovecha que el navegador envía las cookies automáticamente: si un editor tiene la sesión iniciada en el backend y abre una página preparada, esa página puede, por ejemplo, enviar un formulario oculto a TYPO3 con los permisos del editor. La protección la proporcionan tokens secretos vinculados a la sesión que se comprueban en cada petición que cambia el estado; TYPO3 lo hace en el backend con su FormProtection. El atributo de cookie SameSite también ayuda. La descripción con JavaScript inyectado es la confusión más habitual: eso es XSS, donde se ejecuta código ajeno en el navegador.