Sécurité · Question 2 sur 12
Qu'est-ce que le Cross-Site Request Forgery (CSRF) ?
1 réponse est correcte. Facile
Afficher la solution
Solution
- D Un site tiers fait exécuter involontairement une action par le navigateur d'un utilisateur connecté
Explication
Avec le CSRF, l'attaquant exploite le fait que le navigateur envoie automatiquement les cookies : si un rédacteur est connecté au backend et ouvre une page préparée, cette page peut par exemple soumettre à TYPO3 un formulaire caché avec les droits du rédacteur. La protection repose sur des jetons secrets liés à la session et vérifiés à chaque requête modifiant l'état ; TYPO3 le fait dans le backend avec sa FormProtection. L'attribut de cookie SameSite aide également. La description avec du JavaScript injecté est la confusion la plus fréquente : il s'agit du XSS, où du code étranger est exécuté dans le navigateur.