CyberGlossary

Attaques et menaces

Empoisonnement de cookies

Définition

Attaque modifiant le contenu des cookies HTTP avant qu'ils ne soient renvoyés à une application web, afin d'altérer les décisions de confiance, d'identité ou de logique métier.

L'empoisonnement de cookies cible les cookies portant un état applicatif — identifiants utilisateur, rôles, prix, feature flags ou jetons signés — et les altère côté client. Si le serveur fait confiance au cookie sans contrôle d'intégrité adéquat, l'attaquant peut escalader ses privilèges, modifier le total d'un panier, changer de tenant ou contourner l'autorisation. La manipulation se fait dans le navigateur de l'attaquant, via XSS ou via MitM sur des liens non sécurisés. Les défenses : ne pas stocker d'état sensible côté client sans intégrité, signer ou chiffrer les cookies (HMAC, JWT à signature forte, sessions serveur), valider chaque valeur côté serveur, positionner Secure / HttpOnly / SameSite et imposer TLS. Tous les cookies doivent être considérés comme entrée utilisateur non fiable.

Exemples

  • Un utilisateur change le cookie role=user en role=admin et accède aux pages d'administration faute de contrôle d'intégrité.
  • Un site e-commerce stocke le prix dans un cookie ; l'attaquant le modifie avant paiement et paie un centime pour l'article.

Termes liés