反CSRFトークンの不在

説明

このアプリケーションは、セキュアなアプリケーショントークンやSameSite クッキーディレクティブを使用することで、クロスサイトリクエストフォージェリ(CSRF) から保護できませんでした。

この脆弱性は、攻撃者がサードパーティのサイトにリンクやフォームを作成し、認証された犠牲者を騙してそれらにアクセスさせることによって悪用される可能性があります。

対処法

すべてのセッションクッキーにSameSite=Strict 属性を設定することを検討してください。しかし、これは他の媒体でリンクを共有する際のユーザビリティに影響を与える可能性があることに留意してください。RFCのトップレベル・ナビゲーションのセクションで概説されているように、2つのクッキーに基づくアプローチをとることが推奨されます。

アプリケーションが一般的なフレームワークを使用している場合、CSRF 対策が組み込まれている可能性がありますが、有効にする必要があります。詳細については、アプリケーションフレームワークのドキュメントを参照してください。

上記のいずれにも該当しない場合は、サードパーティのライブラリを使用することを強く推奨します。セキュアなAnti-CSRFシステムを実装することは大きな投資であり、正しく行うことは困難です。

詳細

ID集計CWE種類リスク
352.1true352受動的中規模