1-Click ATO Via Host Header Injection: Exploiting Password Reset Poisoning.

Bài viết mô tả cách lỗ hổng Host Header Injection có thể được khai thác để thực hiện takeover tài khoản (ATO) chỉ với một cú click trong quá trình đặt lại mật khẩu. Khi ứng dụng tạo liên kết đặt lại mật khẩu dựa trên giá trị Host header mà không kiểm tra, kẻ tấn công có thể gửi yêu cầu đặt lại mật khẩu với Host header được đặt thành domain under their control, khiến liên kết reset trỏ đến máy chủ của họ. Khi người dùng nhấp vào liên kết đó, mã thông báo reset sẽ được gửi đến máy chủ attacker, cho phép họ đặt lại mật khẩu và chiếm quyền kiểm soát tài khoản ngay lập tức. Trong thí nghiệm của tác giả, lỗ hổng này đã được chứng minh trên một số ứng dụng web phổ biến, cho thấy nguy cơ ATO có thể đạt tới mức 100% khi kết hợp với kỹ thuật social engineering đơn giản. Bài học chính là luôn xác thực và chuẩn hoá Host header (hoặc sử dụng SERVER_NAME) khi xây dựng URL tuyệt đối, đồng thời áp dụng chính sách SameSite và kiểm tra origin để ngăn chặn việc poisoning liên kết reset.