おさかなラボ - [速報]TwitterにCSRF脆弱性あり

S氏に「これってCSRF起こりません？」と指摘され、「あっ！」と思った。とりあえず概要をまとめる。とりまとめなので乱文なのはご容赦を。 結論から先に言うと、CSRFは特定の状況で「起こりうる」。 Twitterには先ほどこの件について報告した。とにかく「URL付きの変なupdateが飛んできたらうかつに踏まないように」。この件ははまちちゃん方式で殖える可能性がある。はまちちゃん事件はgoogleで偽装していたが、twitterはご丁寧にも長いURLをtinyurl化してしまうので、偽装の必要すらない。追記: tinyurlは必ず独自のRefererを送るようにしている模様。むしろ裸のURLが危ない（tinyurlがこの実装を取り消す日が来るまでは）。 とりあえず普通にCSRFを再現してみる。が、Web、APIとも他所サイトのReferer付きリクエストを蹴る模様。なので、Refere

[MinazukiBakera]

うっかり発見したかと思ったら2年半も前に述べられ済みで安心しました。2009年12月現在でも可能。「仕様」と思われます。/ Refererチェックを行っている事実は確認できませんでした。

[miya2000]

TwitterのAPIはできることが少ないから脅威ではないのかも。悪意のページで無限にstatus更新されるくらい?/POST限定だから善意のページに仕込むことは難しい。

[mitsuki_engawa]

あとで考える。

[send]

わかっててそういう仕様なんじゃないのかなあ？