Cross-Site Script Inclusion: um estudo das estratégias de mitigação e atual prevalência da vulnerabilidade em navegadores - Miranda, Henrique Curi de; Arcoverde, Henrique; Oliveira, Renan Villela; Correia, Luiz H. A. (Anais do Simpósio Brasileiro de Cibersegurança (SBSeg), 2024)
A Cross-Site Script Inclusion ou XSSi é uma vulnerabilidade pouco conhecida e que abusa da anexação de cookies em requisições de origem cruzada. Este trabalho apresenta uma avaliação do comportamento do atributo SameSite dos cookies, em versões recentes de diferentes navegadores, e do seu impacto na exploração da Cross-Site Script Inclusion. Experimentos foram realizados verificando a ocorrência da anexação de cookies em requisições cruzadas para diversos navegadores. A principal estratégia proposta para mitigação da vulnerabilidade XSSi é a correta configuração da SameSite pelo desenvolvedor da aplicação. Resultados mostram que essa estratégia para combate da Cross-Site Script Inclusion é eficiente por apresentar menos pontos de falha. Em adição, foi concluído que não existe um padrão de implementação da política de mesma origem e da SameSite por parte dos atuais navegadores, havendo divergência de comportamento quanto a anexação de cookies em requisições de origem cruzada.