Gabarito disponível
Acerca de ameaças e vulnerabilidades em aplicações, julgue os itens subsequentes.
Para que um ataque de cross-site request forgery funcione em aplicações web, basta que a vítima tenha conectado, em algum momento, sua conta original ao disparar a requisição maliciosa.
Para que um ataque de cross-site request forgery funcione em aplicações web, basta que a vítima tenha conectado, em algum momento, sua conta original ao disparar a requisição maliciosa.
CSRF exige sessão autenticada ativa da vítima no momento do disparo, não apenas um login em algum momento passado.
No CSRF, o atacante induz o navegador da vítima a enviar uma requisição a um site no qual ela está autenticada naquele momento (sessão/cookie válido). Não basta ter se conectado 'em algum momento': se a sessão já expirou ou foi encerrada, a requisição forjada não terá credenciais válidas e falhará. Além disso, defesas como tokens anti-CSRF e SameSite cookies também impedem o ataque.
Análise das alternativas
Certo: errado, pois ignora a exigência de sessão ativa/válida no momento da requisição maliciosa. Errado: correto, pelo mesmo motivo.
Referência: OWASP — Cross-Site Request Forgery (CSRF).
Resolução comentada do VaiConcursos.