Durante a análise de uma aplicação, percebeu-se que a seguinte requisição HTTP era realizada pelo navegador ao realizar a atualização da senha do usuário:



PUT /api/v1/user/me/update-password HTTP/1.1

Host: example.website.com

Cookie: USER_SESSION=eyJ1c2VySWQiOiIxMzM3Iiwicm9sZSI6ImN1c3RvbWVyIiwiZXhwIjoxNzE5MjU2OTgwfQ==

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.3

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7

Referer: https://example.website.com/profile/security

Accept-Encoding: gzip, deflate, br

Accept-Language: pt-BR,pt;q=0.9,en-US;q=0.8,en;q=0.7

Content-Type: application/json

Content-Length: 50


{"newPassword":"zxcvbn","repeatPassword":"zxcvbn"}


Sabendo que a requisição foi executada com sucesso pelo servidor, e de que o cookie de sessão da aplicação possui apenas o atributo SameSite=Lax habilitado, avalie as afirmações a seguir:


I. Um usuário malicioso seria capaz de roubar o cookie de sessão da vítima por meio de vulnerabilidades de Cross-Site Scripting (XSS);


II. Um atacante seria capaz de forjar um site malicioso, enviar seu link para um usuário autenticado na aplicação e, com isso, alterar a senha do usuário;


III. A funcionalidade encontra-se vulnerável a ataques de NoSQL Injection, pois utiliza o Content-Type application/json para realizar o envio de dados;


IV. Modificar o atributo SameSite para Strict seria o suficiente para proteger a funcionalidade contra ataques de Cross Site Request Forgery;


V. Um usuário malicioso seria capaz de realizar ataques de sequestro de conta devido à falhas no mecanismo de controle de acesso da aplicação.


*
Apenas I está correta.
Apenas II está correta.
Apenas III está correta.
Apenas II e IV estão corretas.
Apenas I e V estão corretas.