[Security] SonarQube faux positif: CORS flagué comme CSRF désactivé (python:S4502) #55

New issue

Closed

opened 2026-08-06 13:26:34 -04:00 by NixCyRy · 0 comments

NixCyRy commented

2026-08-06 13:26:34 -04:00

(Migrated from github.com)

Problème

SonarQube rapporte 1 vulnérabilité CRITICAL:

Règle: python:S4502
Fichier: backend/app.py:34
Message: "Make sure disabling CSRF protection is safe here."

Analyse

Faux positif. SonarQube voit le CORS et déduit que CSRF est désactivé. En réalité:

CSRF est implémenté via double-submit cookie (depuis #39)
Cookie nf_csrf_token setté au login
before_app_request valide X-CSRF-Token sur toutes les requêtes mutatives
Le CORS ne désactive pas CSRF

Solution recommandée

Option A: Marquer faux positif dans SonarQube (recommandé)

Issue > False Positive dans l'UI SonarQube
Commentaire: "CSRF is implemented via double-submit cookie. CORS does not disable CSRF."

Option B: Ajouter `# nosec` ou réorganiser

Déplacer la config CORS dans un fichier séparé

Priorité

P3-low

## Problème SonarQube rapporte 1 vulnérabilité CRITICAL: - **Règle:** python:S4502 - **Fichier:** `backend/app.py:34` - **Message:** "Make sure disabling CSRF protection is safe here." ### Analyse **Faux positif.** SonarQube voit le CORS et déduit que CSRF est désactivé. En réalité: - CSRF est **implémenté** via double-submit cookie (depuis #39) - Cookie `nf_csrf_token` setté au login - `before_app_request` valide `X-CSRF-Token` sur toutes les requêtes mutatives - Le CORS ne désactive pas CSRF ## Solution recommandée ### Option A: Marquer faux positif dans SonarQube (recommandé) - Issue > False Positive dans l'UI SonarQube - Commentaire: "CSRF is implemented via double-submit cookie. CORS does not disable CSRF." ### Option B: Ajouter `# nosec` ou réorganiser - Déplacer la config CORS dans un fichier séparé ## Priorité P3-low