Différences

Ci-dessous, les différences entre deux révisions de la page.

--- cyber:vulnerabilite:html_boutons_desactives [2025/07/11 14:51] – [Contre-mesures] admin
+++ cyber:vulnerabilite:html_boutons_desactives [2025/07/11 14:53] (Version actuelle) – [Exemple 2] admin
@@ Ligne 44: / Ligne 44: @@
   * **Supprimer les champs désactivés du formulaire** : si un champ de formulaire n'est pas utilisé, il est recommandé de le supprimer complètement du formulaire plutôt que de le désactiver. Cela peut empêcher un attaquant de l'utiliser pour envoyer ou forcer l'envoi de données malveillantes.
+====== Comment cela fonctionne ======
+Le scénario suivant peut être joué via l’exploitation de cette vulnérabilité :
+  * Forcer l'accès à un bouton ou à un input désactivé afin d'accéder à des ressources sensibles ou potentiellement utiliser celui-ci comme point d'entrée pour une injection de code ou de commande.
+===== Exemple 1 =====
+Voici un exemple de code HTML pour un bouton classique :
+<code html>
+<button type="button">Cliquez ici</button>
+</code>
+Dans cet exemple, le bouton affichera le texte "Cliquez ici" et ne sera pas associé à une action particulière. Le type "button" indique que ce bouton n'a pas de comportement par défaut (contrairement au type "submit" qui soumettra le formulaire). Vous pouvez également ajouter une classe, un ID, du style ou d'autres attributs pour personnaliser l'apparence et le comportement du bouton en fonction de vos besoins.
+===== Exemple 2 =====
+Voici une page simple en HTML contenant un bouton qui est désactivé :
+<code html>
+<!DOCTYPE html>
+<html>
+<head>
+  <title>Page avec bouton désactivé</title>
+</head>
+<body>
+<!-- Ce bouton est désactivé grâce à l'attribut "disabled" -->
+  <button disabled>Bouton désactivé</button>
+</body>
+</html>
+</code>
+Dans ce code un attaquant peut facilement contourner le bouton désactivé en modifiant le code HTML de la page avec un débogueur de navigateur.
+====== References ======
+URL :
+  * https://developer.mozilla.org/fr/docs/Web/HTML/Element/input/button
+  * https://perso.liris.cnrs.fr/tristan.roussillon/ens/javascript/seance2/JavaScript_L3_Cours2.pdf
+  * https://docs.emmet.io/cheatsheet-a5.pdf
+  * https://www.tutorialspoint.com/html/pdf/html_button_tag.pdf
 ====== Retour fiches vulnérabilités ======
   * [[cyber:vulnerabilite:accueil|Cyber fiches vulnérabilités]]