おさかなラボ - [速報]TwitterにCSRF脆弱性ありS氏に「これってCSRF起こりません？」と指摘され、「あっ！」と思った。とりあえず概要をまとめる。とりまとめなので乱文なのはご容赦を。 結論から先に言うと、CSRFは特定の状況で「起こりうる」。 Twitterには先ほどこの件について報告した。とにかく「URL付きの変なupdateが飛んできたらうかつに踏まないように」。この件ははまちちゃん方式で殖える可能性がある。はまちちゃん事件はgoogleで偽装していたが、twitterはご丁寧にも長いURLをtinyurl化してしまうので、偽装の必要すらない。追記: tinyurlは必ず独自のRefererを送るようにしている模様。むしろ裸のURLが危ない（tinyurlがこの実装を取り消す日が来るまでは）。 とりあえず普通にCSRFを再現してみる。が、Web、APIとも他所サイトのReferer付きリクエストを蹴る模様。なので、Refere
