CSRF koruması devre dışı (ARCH2125)

Anahtar python.security.disabled-csrf · Önem warning · Kategori security · CWE CWE-352

Durum değiştiren uç noktalarda CSRF korumasını kapatmak, saldırganların kurbanın oturumunu kullanarak istenmeyen istekler tetiklemesine olanak tanır. Koruma yalnızca gerçekten gereksiz olduğunda kaldırılmalıdır.

Hatalı

from django.views.decorators.csrf import csrf_exempt

@csrf_exempt
def transfer(request):
    move_funds(request.POST["to"], request.POST["amount"])

Doğru

def transfer(request):
    # CSRF token middleware tarafından otomatik doğrulanır
    move_funds(request.POST["to"], request.POST["amount"])

Düzeltme

CSRF korumasını etkin tutun; @csrf_exempt gibi devre dışı bırakmaları durum değiştiren uç noktalarda kullanmayın.