CVE-2023-45857-Demo

Démo pour vérifier le comportement de la vulnérabilité CVE-2023-45857 d'axios

1. Démarrer avec le dev container
2. Exécuter npm run dev dans le conteneur app
3. Accéder à http://app.localhost
4. Vérifier que le cookie XSRF-TOKEN est défini dans les outils de développement du navigateur
   • La valeur doit être CREDENTIAL_TOKEN
   • HttpOnly doit être false
   • SameSite doit être Strict
5. Appuyer sur le bouton
6. Dans les outils de développement, vérifier que la requête vers whoami.localhost/api contient l'en-tête x-xsrf-token avec la valeur CREDENTIAL_TOKEN
   • Comme whoami renvoie la requête telle quelle, cela peut également être vérifié dans le navigateur.