Une fonction d'authentification utilisée en production contient un TODO et renvoie true pour tout jeton reçu, selon une contribution anonyme. L'identité de l'utilisateur authentifié est enregistrée séparément au début de la session, ce qui limite certains scénarios d'usurpation. La vérification ne protège toutefois rien : n'importe quelle chaîne est acceptée. Remy Porter a publié l'exemple le 1er octobre 2026 sur The Daily WTF.
Illustration : The Dev Dispatch
Une contribution anonyme a présenté à The Daily WTF la fonction utilisée en production pour vérifier les jetons d'authentification. Son implémentation contient un commentaire TODO et renvoie true. Chaque jeton fourni est donc accepté.
IsTokenValid
public bool IsTokenValid(string token)
{
//TODO
return true;
}
L'application conserve séparément l'identité de l'utilisateur authentifié au début de la session. D'après l'article, cela rend l'usurpation d'un autre utilisateur un peu plus difficile, mais la vérification du jeton n'apporte aucune authentification. Remy Porter a publié l'article le 1er octobre 2026 dans la série CodeSOD.
Pas de compte ni de mot de passe — saisis simplement ton adresse e-mail et nous t’envoyons un lien de connexion à usage unique. Première visite ? Tout se met en place automatiquement.
Ton évaluation sera appliquée automatiquement après ta connexion.
Vérifie ta boîte mail
Nous avons envoyé un lien de connexion à …. Ouvre-le sur cet appareil — cet onglet te connectera automatiquement.
Rien reçu ? Vérifiez le dossier spam — et marquez le message « Non spam » pour qu'il arrive directement la prochaine fois.
Le guard d’API par token de Laravel permettait de se connecter sans authentification à un compte existant sur MySQL et MariaDB avec une valeur non tex…
Tout le monde parle du modèle qui a déniché CVE-2026-109618 et CVE-2026-109619. Le chiffre qui dérange davantage, c'est celui de Cisco : environ la mo…
Une autorité de certification intermédiaire compromise a été enregistrée sous le numéro CVE-2026-111943. La faille permet aux attaquants d'émettre des…
CVE-2026-110264 est un dépassement d'entier dans Onigmo qu'un visiteur anonyme peut atteindre via le moteur de rendu Org-mode de GitLab. Il faut patch…
Commentaires
Pas encore de commentaire — écris le premier.
Lance la discussion
Pas de compte ni de mot de passe — saisis simplement ton adresse e-mail et nous t’envoyons un lien de connexion à usage unique. Première visite ? Tout se met en place automatiquement.
Ton évaluation sera appliquée automatiquement après ta connexion.
Vérifie ta boîte mail
Nous avons envoyé un lien de connexion à …. Ouvre-le sur cet appareil — cet onglet te connectera automatiquement.
Rien reçu ? Vérifiez le dossier spam — et marquez le message « Non spam » pour qu'il arrive directement la prochaine fois.