CSRF koruması kapatılmış (ARCH3125)

Anahtar typescript.security.disabled-csrf · Önem warning · Kategori security · CWE CWE-352

Durum değiştiren uç noktalarda CSRF korumasının kapatılması, saldırganların kullanıcı adına istenmeyen istekler tetiklemesine olanak tanır. Token tabanlı CSRF korumasını etkin tutun.

Hatalı

import csrf from "csurf";

// CSRF middleware kasıtlı olarak atlanıyor
app.post("/account/transfer", (req, res) => {
  transferFunds(req.user, req.body.amount);
  res.sendStatus(200);
});

Doğru

import csrf from "csurf";

const csrfProtection = csrf({ cookie: true });
app.post("/account/transfer", csrfProtection, (req, res) => {
  transferFunds(req.user, req.body.amount);
  res.sendStatus(200);
});

Düzeltme

Durum değiştiren tüm POST/PUT/DELETE uç noktalarına CSRF token doğrulaması uygulayın.