Correction d'une faille sur le frontend Next.js/React d'une plateforme de podcast existante : les identifiants de connexion transitaient via l'URL (query string) au lieu du corps de la requete POST. Refonte du flux de soumission du formulaire pour eliminer cette exposition.
Le probleme se situait dans le frontend Next.js/React de la plateforme : la soumission du formulaire de connexion faisait transiter l'email et le mot de passe via la query string de l'URL au lieu du corps de la requete POST. Ce type d'exposition est particulierement dangereux car l'URL est journalisee cote serveur, conservee dans l'historique du navigateur, mise en cache par les proxies et potentiellement transmise via l'en-tete Referer.
Apres avoir localise le point exact ou les identifiants etaient concatenes a l'URL, le flux de soumission a ete repense pour envoyer ces donnees dans le corps de la requete. La correction a ete verifiee en inspectant les requetes reseau afin de confirmer que plus aucun identifiant n'apparaissait dans l'URL.
L'intervention est restee volontairement ciblee sur la vulnerabilite du flux de login, sans toucher au reste de l'architecture de la plateforme existante.
Audit du flux de soumission du formulaire de connexion (Next.js/React).
Identifiants transmis via la query string de l'URL au lieu du corps de la requete POST.
Refonte de la soumission pour transmettre les identifiants dans le corps de la requete.
Verification via inspection des requetes reseau (plus aucun identifiant dans l'URL).
Intervention ciblee sur le login, sans modification du reste de la plateforme existante.
Frontend existant
Identifiants hors URL
Verification reseau
Brief, repo, ou appel rapide - on s'adapte.