LifestyleStore v1.0 中的 CSRF 漏洞

📌 概述

本仓库记录了在 LifestyleStore v1.0 项目中发现的**跨站请求伪造（CSRF）**漏洞。该缺陷允许攻击者以已认证用户的名义执行未经授权的操作，对数据完整性和账户安全构成风险。

---

🛠️ 技术细节

• 类型：CSRF（跨站请求伪造）
• 影响：未经授权的操作，例如数据修改或账户失陷。
• 受影响版本：LifestyleStore v1.0
• 严重性：高

---

💡 工作原理

1. 应用程序不验证请求的真实性。
2. 攻击者可以通过在第三方网站中嵌入恶意链接或表单，诱骗用户执行非预期操作。
3. 一旦点击，这些操作将在受害者的已认证会话上下文中执行。

---

🔒 缓解措施

为防止 CSRF 漏洞，请实施：

• CSRF 令牌：为所有表单添加唯一令牌，并在服务器端进行验证。
• SameSite Cookie：为 Cookie 使用 SameSite 属性，以防止跨源请求。
• 用户确认：对敏感操作要求明确的用户确认。

✍️ 作者

David P.S. Abraham (Davycipher)

• 📧 邮箱：[email protected]
• 🌐 GitHub：cypherdavy
• 🌐 CVE 搜索：CVE-2024-57373
• 🛑阅读：Medium