CVE-2023-45857-Demo

Demo para verificar el comportamiento de la vulnerabilidad CVE-2023-45857 de axios

1. Iniciar en el dev container
2. Ejecutar npm run dev en el contenedor app
3. Acceder a http://app.localhost
4. Comprobar en las herramientas de desarrollo del navegador que la cookie XSRF-TOKEN se ha establecido
   • Que el valor sea CREDENTIAL_TOKEN
   • Que HttpOnly sea false
   • Que SameSite sea Strict
5. Pulsar el botón
6. Comprobar en las herramientas de desarrollo que la petición a whoami.localhost/api incluye el encabezado x-xsrf-token con el valor CREDENTIAL_TOKEN
   • Como whoami devuelve la petición tal cual, también se puede comprobar en el navegador