Suivi — Autres [Faille] Lien de déconnexion

#524 Posté par ecyrbe le 11 juillet 2011 à 15:05. État de l’entrée : corrigée. Assigné à Bruno Michel.

Étiquettes : aucune

juil.

2011

Sur notre profil on a un lien permettant de se déconnecter : http://linuxfr.org/compte/deconnexion

Des petit malins on mit sur leur site perso ce lien, certainement dans l'optique d'emmerder le monde, et donc d'exploiter une faille sans même la rapporter. Outre le mesure que vous jugerez utile de prendre envers les personnes qui s'amusent à ce petit jeux malsain je propose de corriger cette faille comme suit.

Générer un lien unique par session d'utilisateur. exemple :

http://linuxfr.org/compte/deconnexion?id-session=FADE84D5F2S3ZA

# Je n'aime pas dénoncer, mais bon...

Posté par ecyrbe le 11 juillet 2011 à 15:09. Évalué à 1 (+0/-0).

cet utilisateur utilise le lien dans son profil : pankkake

Répondre
# POST ?

Posté par 2bass le 11 juillet 2011 à 17:15. Évalué à 1 (+0/-0).

Je passe la déconnexion en général via un POST pour éviter cela. Il reste toujours possible de créer un faux formulaire mais la protection csrf doit nous protéger.

Répondre
- [^] # Re: POST ?
  
  Posté par LupusMic (site web personnel, Mastodon) le 11 juillet 2011 à 21:51. Évalué à 1 (+0/-0).
  
  Tout les formulaires de soumission doivent contenir un token aléatoire et unique lié à une session s'il permet la modification de l'état de l'application.
  
  Répondre
- [^] # Re: POST ?
  
  Posté par Bruno Michel (site web personnel) le 23 août 2011 à 00:22. Évalué à 2 (+0/-0).
  
  Fait. Cf https://github.com/nono/linuxfr.org/commit/aef39b7de30a534811bf3770f120f026c4753b9c
  
  Répondre