Actu
Vigil@nce - Node.js csrf-lite : obtention d’information via Time String Comparison
juin 2016 par Vigil@nce
Ce bulletin a été rédigé par Vigil@nce : https://vigilance.fr/offre
SYNTHÈSE DE LA VULNÉRABILITÉ
Un attaquant peut provoquer un Cross Site Request Forgery de
Node.js csrf-lite, afin de forcer la victime à effectuer des
opérations.
– Produits concernés : Node.js Modules non exhaustif.
– Gravité : 2/4.
– Date création : 25/04/2016.
DESCRIPTION DE LA VULNÉRABILITÉ
Le module csrf-lite peut être installé sur Node.js.
Cependant, la comparaison du jeton de session s’arrête à la
première différence, ce qui permet de progressivement le
contourner en mesurant le temps d’exécution.
Un attaquant peut donc provoquer un Cross Site Request Forgery de
Node.js csrf-lite, afin de forcer la victime à effectuer des
opérations.
ACCÈS AU BULLETIN VIGIL@NCE COMPLET
