Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. Para que um ataque de cross-site request forgery funcione em aplicações web, basta que a vítima tenha

Gabarito

Errado

Comentário do professor

CSRF explora a confiança do servidor no navegador que já está autenticado. A afirmação é errada porque não basta que a vítima "tenha conectado, em algum momento": a requisição maliciosa só funcionará se a sessão estiver ativa e o navegador enviar automaticamente as credenciais (por exemplo, cookies de sessão) no momento do ataque.

Além disso, muitos sistemas aplicam proteções que impedem o ataque mesmo com sessão ativa, como tokens anti‑CSRF, cabeçalhos que não são enviados cross‑site e a política SameSite dos cookies. Em contrapartida, autenticação via token em cabeçalho (ex. Bearer) não é vulnerável a CSRF se o token não for automaticamente incluído pelo navegador.

Portanto, ter-se conectado "em algum momento" não garante sucesso do ataque; é necessário que a sessão válida exista no instante da requisição e que não haja mecanismos de mitigação em vigor.