Exploit for Cross-Site Request Forgery (CSRF) in Axios CVE-2023-45857

Name: Exploit for Cross-Site Request Forgery (CSRF) in Axios CVE-2023-45857
Rating: 5 (413 reviews)

2023-10-26 | CVSS 6.5

## https://sploitus.com/exploit?id=0D7FA848-A2E1-5E64-9895-C6604FC7F8B1
axios の脆弱性 CVE-2023-45857 の動作を確認するデモ

1. dev container で起動する
1. app コンテナで`npm run dev`する
1. http://app.localhostへアクセスする
1. ブラウザの開発者ツールで Cookie に`XSRF-TOKEN`がセットされていることを確認する
   - 値が`CREDENTIAL_TOKEN`となっていること
   - HttpOnly が false となっていること
   - SameSite が Strict となっていること
1. ボタンを押す
1. 開発者ツールで`whoami.localhost/api`へのリクエストにヘッダーの`x-xsrf-token`が存在し値が`CREDENTIAL_TOKEN`となっていること
   - whoami はリクエストをそのまま返却するのでブラウザ上でも確認ができる