CWE ID: 352
Name: Cross-Site Request Forgery (CSRF)
Die Webanwendung verifiziert nicht ausreichend, ob eine Anfrage tatsächlich von dem Benutzer stammt, der sie initiiert hat, was potenziell von einem unautorisierten Akteur ausgehen könnte. Dies birgt das Risiko von Spoofing und anderen Angriffen.
Effektivität: Unknown
Beschreibung: Stellen Sie sicher, dass die Anwendung frei von Cross-Site Scripting (XSS) Schwachstellen (CWE-79) ist, da die meisten CSRF-Abwehrmechanismen durch Angreifer-kontrollierte Scripts umgangen werden können.
Effektivität: Unknown
Beschreibung: Generieren Sie für jedes Formular einen eindeutigen Nonce, platzieren Sie diesen Nonce innerhalb des Formulars und verifizieren Sie den Nonce beim Empfang des Formulars. Stellen Sie sicher, dass der Nonce nicht vorhersagbar ist (CWE-330). [REF-332]
Notizen: Beachten Sie, dass dies durch Cross-Site Scripting (XSS) (CWE-79) umgangen werden kann.
Effektivität: Unknown
Beschreibung: Identifizieren Sie besonders gefährliche Operationen. Wenn ein Benutzer eine gefährliche Operation durchführt, senden Sie eine separate Bestätigungsanfrage, um sicherzustellen, dass der Benutzer die Operation tatsächlich beabsichtigt hat.
Notizen: Beachten Sie, dass dies durch Cross-Site Scripting (XSS, CWE-79) umgangen werden kann.
Effektivität: Unknown
Beschreibung: Verwenden Sie die GET-Methode nicht für Anfragen, die einen Zustandsänderung auslösen.
Effektivität: Unknown
Beschreibung: Überprüfen Sie den HTTP Referer Header, um festzustellen, ob die Anfrage von einer erwarteten Seite stammt. Beachten Sie jedoch, dass dies legitime Funktionalität beeinträchtigen kann, da Benutzer oder Proxies den Referer aus Datenschutzgründen deaktiviert haben könnten.
Notizen: Beachten Sie, dass dies durch Cross-Site Scripting (XSS, CWE-79) umgangen werden kann. Ein Angreifer könnte XSS nutzen, um einen gefälschten Referer zu generieren oder eine bösartige Anfrage von einer Seite zu senden, deren Referer ansonsten akzeptiert würde.
