論文の概要: When POST Becomes GET: Investigating HTTP Method Interchangeability and Its Security Implications

• arxiv url: http://arxiv.org/abs/2610.37474v1
• Date: Tue, 27 Oct 2026 16:05:34 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-28 21:04:31.686555
• Title: When POST Becomes GET: Investigating HTTP Method Interchangeability and Its Security Implications
• Title（参考訳）: POSTがGETになったとき:HTTPメソッドのインターチェンジャビリティとそのセキュリティへの影響の調査
• Abstract要約: 我々は、POST要求を同じエンドポイントへのGET要求として書き直すことができるHTTPメソッド交換性について研究する。 ブラウザ上でWebアプリケーションをクロールする自動パイプラインであるメソッドインターチェンジ検出エンジン(MIDE)を提案する。 1万サイト中407サイト(4.1%)、捕獲されたPOSTを持つ3,200サイト中407サイト(12.7%)、再生されたPOSTを持つ2,734サイト中407サイト(14.9%)について、信頼性の高い相互接続要求が見つかった。
• 参考スコア（独自算出の注目度）: 1.83648580073905
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: HTTP method semantics are a common boundary between safe retrieval and state-changing operations; however, deployed web applications do not always enforce this boundary consistently. In this paper, we study HTTP method interchangeability, a behavior where a POST request can be rewritten as a GET request to the same endpoint, with POST body parameters moved into the query string, while preserving an equivalent observed response. We present Method Interchange Detection Engine (MIDE), an automated pipeline that crawls web applications in a browser, records POST requests generated by page loads and user-interface interactions, converts supported POST bodies into GET candidates, and compares replayed responses with the original POST response. To avoid counting generic or parameter-independent responses as interchangeable, MIDE also sends a no-query GET baseline. We treat as high-confidence evidence of interchangeability only the cases where the converted GET matches the POST, while the baseline does not. We perform a large-scale unauthenticated experiment on the Tranco top 10k. We find high-confidence interchangeable requests on 407 of 10,000 tested sites (4.1%), 407 of 3,200 sites with captured POSTs (12.7%), and 407 of 2,734 sites with replayed POSTs (14.9%). A targeted Cross-Site Request Forgery (CSRF) token-replay check finds cases where invalid tokens are rejected for POST but accepted for the equivalent GET. We also observe Web Cache Deception (WCD) conditions and cacheable GET responses for interchangeable request instances. These results demonstrate that method interchangeability is observable in real web applications and can expose method-scoped defense gaps.
• Abstract（参考訳）: HTTPメソッドのセマンティクスは、安全な検索と状態変更操作の共通境界であるが、デプロイされたWebアプリケーションは、常にこの境界を強制するとは限らない。 本稿では,POST要求が同一エンドポイントへのGET要求として書き直され,POST本体パラメータが等価な応答を保ちながらクエリ文字列に移動される動作であるHTTPメソッドの交換性について検討する。 ブラウザ上でWebアプリケーションをクロールし、ページロードやユーザとインタフェースのインタラクションによって生成されたPOSTリクエストを記録し、サポート対象のPOSTボディをGET候補に変換し、元のPOST応答と比較する自動パイプラインであるメソッドインターチェンジ検出エンジン(MIDE)を提案する。 ジェネリックまたはパラメータ非依存のレスポンスを交換可能としてカウントするのを避けるため、MIDEはクエリなしのGETベースラインも送信する。 我々は、変換されたGETがPOSTと一致する場合のみ、インターチェンジビリティの信頼性の高い証拠として扱うが、ベースラインは一致しない。 我々はTrancoトップ10kで大規模な無人実験を行う。 1万サイト中407サイト(4.1%)、捕獲されたPOSTを持つ3,200サイト中407サイト(12.7%)、再生されたPOSTを持つ2,734サイト中407サイト(14.9%)について、信頼性の高い相互接続要求が見つかった。 ターゲットのCSRF(Cross-Site Request Forgery)トークン-リプレイチェックは、POSTに対して無効なトークンが拒否されるが、同等のGETに対して受け入れられるケースを見つける。 また、Web Cache Deception(WCD)条件や、交換可能なリクエストインスタンスに対するキャッシュ可能なGETレスポンスも観察します。 これらの結果は,実際のWebアプリケーションではメソッド交換性が観測可能であることを示し,メソッドスコープによる防御ギャップを露呈できることを示した。

関連論文リスト

• Fetch Me If You Can: A Comprehensive Analysis of Fetch Metadata [9.513750461200972]
  本研究は,Fetch Metadata導入に関する大規模研究である。 Trancoの上位100万のWebサイトを分析して、Fetch Metadataアイソレーションポリシのデプロイメントを検出します。 次に、これらのポリシーがどのようにクロスサイト脅威に対処し、セキュリティカバレッジを評価するかを検討する。
  論文  参考訳（メタデータ） (2026-10-11T11:32:40Z)
• Answer with Evidence: Consistency-Aware Grounded Visual Question Answering for Roadside Traffic Scenes [74.32863692381677]
  RoadSceneVQA-Gは34.7Kの質問応答対のベンチマークである。 RoadSceneVQA-Gは34.7Kの質問応答対のベンチマークである。
  論文  参考訳（メタデータ） (2026-10-04T14:48:54Z)
• SEER: A Self-Grounded Evidence Interface for Controlled Spatial Relation Classification [71.9783246097687]
  SEERは、ペアローカライゼーション中の候補関係を隠蔽し、明示的な主観的/対象的役割を持つクエリ固有ビューを構築し、補完的な証拠として完全なイメージとスパースボックス幾何学を保持する。 正確な逆サポートを持つ関係選択プロトコルでは、オプションリファインメントがエンティティロールを交換し、正確に1つの視覚状態が対応する逆関係に従う場合にのみ前方決定を変更する。 変更されていないプロトコルは、3つのモデルにまたがる2,434個のフィルター付きEmbSpatialペア関係質問に対して +4.35 から +11.79 を得る。
  論文  参考訳（メタデータ） (2026-08-04T13:16:15Z)
• HTTP Request Synchronization Defeats Discrepancy Attacks [6.113912479606383]
  我々は,HTTP Request Synchronization と呼ばれる,この問題に対処する最初の包括的防御手法を提案する。 提案方式では,標準HTTP拡張機構を用いて,各要求を完全な処理履歴で拡張する。 この履歴を使用することで、すべてのプロキシサーバは、処理が以前のホップすべてと一致していることを検証することができ、不一致攻撃を排除できる。
  論文  参考訳（メタデータ） (2025-10-11T01:42:38Z)
• Semantic Caching for Low-Cost LLM Serving: From Offline Learning to Online Adaptation [54.61034867177997]
  キャッシング推論応答は、大きな言語モデルに他の前方を通さずに、それらを検索することができる。 従来の正確なキャッシュは、クエリ間のセマンティックな類似性を見落とし、不要な再計算をもたらす。 本稿では,未知のクエリおよびコスト分布下でのセマンティックキャッシュ消去のための,原則的,学習ベースのフレームワークを提案する。
  論文  参考訳（メタデータ） (2025-08-11T06:53:27Z)
• WAFFLED: Exploiting Parsing Discrepancies to Bypass Web Application Firewalls [4.490124817524261]
  Webアプリケーションファイアウォール(WAF)の運用は防御を損なう可能性がある。 我々は、相違点を明らかにすることによって、WAFをバイパスする革新的なアプローチを提案する。 我々は,5つの有名なWAFの1207バイパスを同定し,確認した。
  論文  参考訳（メタデータ） (2025-03-13T19:56:29Z)
• vCache: Verified Semantic Prompt Caching [95.16654660556975]
  本稿では,ユーザ定義エラー率保証を備えた最初の検証済みセマンティックキャッシュであるvCacheを提案する。 オンライン学習アルゴリズムを使用して、キャッシュされたプロンプト毎に最適な閾値を推定し、追加のトレーニングなしで信頼性の高いキャッシュ応答を可能にする。 我々の実験によると、vCacheは特定のエラー境界を一貫して満たし、最先端の静的な閾値と微調整された埋め込みベースラインより優れています。
  論文  参考訳（メタデータ） (2025-02-06T04:16:20Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。