サイゼイヤの例の脆弱性について

サイゼイヤの例の脆弱性について

それ、本当に「重大な脆弱性」なのか？QRオーダー系のサービスについて、いくつか脆弱性が指摘されてい...概要を表示 それ、本当に「重大な脆弱性」なのか？QRオーダー系のサービスについて、いくつか脆弱性が指摘されている記事を読んだ。 もちろん、スタッフ呼び出しAPIが本当に誰でも叩ける状態なら、それは直した方がいいと思う。店舗オペレーションを乱せるし、いたずらや業務妨害につながる可能性はある。 ただ、記事全体としては「脆弱性」と呼んでいるものの中に、実際にはそこまで問題ではなさそうなものがかなり混ざっているように感じた。 Origin / Referer を検証していない問題まず、Origin や Referer を検証していないことについて。 これは主に、ブラウザ経由で第三者のユーザーを勝手に操作させる CSRF 対策として意味があるものだと思う。 でも、APIを curl や自作クライアントから叩けること自体を防ぐものではない。Origin / Referer を見たところで、ブラウザ外のクライアント