Vulnerabilitatea Cross-Site Request Forgery (CSRF) [se pronunţă Sea-Surf] se caracterizează prin faptul că aplicaţia web nu poate efectua verificări suficiente, pentru a determina dacă cererea primită de aplicaţie este consistentă, formată corect şi dacă a fost efectuată într-adevăr de către utilizatorul care a efectuat cererea şi nu de către altcineva.

Dacă un server/o aplicaţie web este concepută pentru a primi o cerere din partea unui client, fără nici un mecanism de verificare a autencităţii cererii (dacă aceasta a fost trimisă în mod intenţionat), atunci ar putea fi posibil ca un atacator să forţeze browserul unui client să efectuieze o cerere neintenţionată către serverul web, care va fi tratată ca o cerere autentică. Exploatarea acestei vulnerabilităţi poate fi efectuată prin intermediul unui URL, a unei imagini, a unei cereri XMLHttpRequest, etc. şi poate avea drept consecinţă divulgarea de date sau executarea de cod neintenţionat.

Exploatarea vulnerabilităţii Cross-Site Request Forgery(CSRF) este un alt tip de atac. În loc să exploateze încrederea pe care o are un utilizator într-o aplicaţie web, atacurile CSRF exploatează încrederea pe care o are un site în utilizatorii săi.
Read the rest of this entry »