CVE-2023-45857-Demo

Demo per verificare il funzionamento della vulnerabilità CVE-2023-45857 di axios

1. Avviare il dev container
2. Eseguire npm run dev nel container app
3. Accedere a http://app.localhost
4. Verificare con gli strumenti di sviluppo del browser che il cookie XSRF-TOKEN sia impostato
   • Il valore deve essere CREDENTIAL_TOKEN
   • HttpOnly deve essere false
   • SameSite deve essere Strict
5. Premere il pulsante
6. Verificare con gli strumenti di sviluppo che nella richiesta a whoami.localhost/api sia presente l'intestazione x-xsrf-token con valore CREDENTIAL_TOKEN
   • whoami restituisce la richiesta invariata, quindi è verificabile anche nel browser