受入試験（指摘事項管理）

・危険度：中

・解説
クロスサイトリクエストフォージェリ(CSRF)が検出されました。
CSRFは、攻撃者が正規のユーザに特定の処理を強制的に実行させることが可能な脆弱性です。
攻撃者が本脆弱性を悪用することで、サイトを不正利用することが可能です。

・検出箇所
<雇用契約書一括ダウンロード>-<削除する>
URL
https://c.ecomic-app.com/ecclub/KoyouKeiyakushoIkatsuDownLoad/KoyouKeiyakushodownload/doAction

<雇用契約書一括ダウンロード>-<選択項目の回答期限を変更する>
URL
https://c.ecomic-app.com/ecclub/KoyouKeiyakushoIkatsuDownLoad/KoyouKeiyakushodownload/doAction

<EC NEWS登録>-<新規登録>-<登録する>
URL
https://c.ecomic-app.com/ecclub/eco/ecnews/toukou

<EC NEWS登録>-<投稿一覧>-<編集>
URL
https://c.ecomic-app.com/ecclub/eco/ecnews/henshu

<EC NEWS登録>-<投稿一覧>-<削除>
URL
https://c.ecomic-app.com/ecclub/eco/ecnews/toukouichiran/sakujo

<コミュニケーションボード登録><新規登録><登録する>
URL
https://c.ecomic-app.com/ecclub/communication/toukou

<ドキュメント一括ダウンロード>-<削除する>
URL
https://c.ecomic-app.com/ecclub/DokyumentoIkatsuDownLoad/Dokyumentodownload/doAction

---2/15追加-------------------------------------------------------------------------
<コミュニケーションボード管理><投稿一覧><編集>
URL
https://c.ecomic-app.com/ecclub/communication/toukou

<コミュニケーションボード管理><投稿一覧><削除>
URL
https://c.ecomic-app.com/ecclub/communication/toukouichiran/sakujo

<ドキュメント一括ダウンロード><公開日時を変更する><変更する>
URL
https://c.ecomic-app.com/ecclub/DokyumentoIkatsuDownLoad/Dokyumentodownload/doAction

<拠点管理者追加>-<登録>
URL
https://c.ecomic-app.com/ecclub/kyoten/kanrisha/tsuika/koshin

---

・確認方法
※例は、<EC NEWS登録>-<新規登録>-<登録する>を使用しております。
その他の箇所も同様の方法で確認可能です。

1) 有効なアカウントでログイン後、下記のURLにアクセスします。
--------------------------------------------------------------------
https://c.ecomic-app.com/ecclub/eco/ecnews/toukou?_token=&subject=%e8%a8%ba%e6%96%ad&text_main=%e8%a8%ba%e6%96%ad%e6%9c%ac%e6%96%87&upload_file=
--------------------------------------------------------------------

2) 目的の処理が正常に完了します。

・対処方法
送信されてきたリクエストが正規のユーザの意図する内容であるかを検証する処理を追加してください。
例) ワンタイムトークンの利用、Refererヘッダの検証など

例えば、EC NEWS登録の場合、画面上で登録するとPost(@csrf)で送られるが、
Getも許可してしまっている為、下記のURLのGetでの登録ができてしまう。
ecclub/eco/ecnews/toukou?_token=&subject=%e8%a8%ba%e6%96%ad&text_main=%e8%a8%ba%e6%96%ad%e6%9c%ac%e6%96%87&upload_file=

Routing(web.php)で、更新や削除処理にもかかわらずGetを許可している操作をPostのみに修正する対応を行う。

テストについては、laravelのバリデーションエラーはGetでリダイレクトされる為、その点も考慮してテストする。

---------------
対応確認いたしました。