CVE-2023-45857-Demo

axios 취약점 CVE-2023-45857 동작 확인 데모

1. dev container에서 시작
2. app 컨테이너에서 npm run dev 실행
3. http://app.localhost에 접속
4. 브라우저 개발자 도구에서 Cookie에 XSRF-TOKEN이 설정되어 있는지 확인
   • 값이 CREDENTIAL_TOKEN인지 확인
   • HttpOnly가 false인지 확인
   • SameSite가 Strict인지 확인
5. 버튼 누르기
6. 개발자 도구에서 whoami.localhost/api 요청에 헤더 x-xsrf-token이 존재하고 값이 CREDENTIAL_TOKEN인지 확인
   • whoami는 요청을 그대로 반환하므로 브라우저에서도 확인 가능