Quiz sécurité du jour #12

Question du 2026-11-12. Lisez le code et choisissez la faille de sécurité la plus grave.

Ce code renvoie les utilisateurs à la page qu’ils consultaient avant de se connecter. Quelle est la vulnérabilité la plus grave ?

1app.post('/login', async (req, res) => {
2  const user = await authenticate(req.body.id, req.body.password);
3  if (!user) return res.status(401).send('Échec de connexion');
4  req.session.userId = user.id;
5  res.redirect(req.query.next || '/');
6});

1. ALe message d’échec de connexion est trop détaillé
2. BLes mots de passe doivent être hachés pour empêcher les attaques par fixation de session
3. Credirect ne peut pas être utilisé avec les requêtes POST
4. DUne adresse externe peut être placée dans next pour diriger les utilisateurs vers un site d’hameçonnage (redirection ouverte)