CVE-2023-29008

SvelteKit freymvorku tərtibatçılara sadə REST API-ləri yaratmaq imkanı təqdim edir. Bu, müxtəlif HTTP metodları üçün endpoint handler-lərini ehtiva edən `+server.js` faylının təyin edilməsi ilə həyata keçirilir. SvelteKit istifadəçilərinə hazır saytlararası sorğu saxtalaşdırmasından (CSRF) qorunma təqdim edir. Qorunma `kit/src/runtime/server/respond.js` faylında həyata keçirilir. Tətbiq ümumi CSRF hücumlarının qarşısını almaqda kifayət qədər iş görsə də, 1.15.2-dən əvvəlki versiyalarda qorunmanı sadəcə böyük hərflərlə yazılmış `Content-Type` başlıq dəyərini göstərməklə yan keçmək mümkündür. Brauzer böyük hərflər göndərməyəcək, lakin bu yoxlama bütün gözlənilən CORS sorğularını bloklamır. Suistifadə edilərsə, bu problem üçüncü tərəf domenlərindən zərərli sorğuların göndərilməsinə imkan verəcək, bu da qurbanın sessiyası kontekstində əməliyyatların icrasına imkan yarada bilər və ekstremal ssenarilərdə istifadəçi hesablarına icazəsiz girişə səbəb ola bilər. Bu, aşağıdakı hallarda autentifikasiya tələb edən bütün POST əməliyyatlarının icazə verilməsinə səbəb ola bilər: hədəf sayt autentifikasiya kukisinə `SameSite=None` təyin edirsə və istifadəçi Chromium əsaslı brauzerdə zərərli sayta daxil olursa; hədəf sayt `SameSite` atributunu açıq şəkildə təyin etmirsə və istifadəçi izləmə qorunması söndürülmüş Firefox/Safari ilə zərərli sayta daxil olursa; və/və ya istifadəçi çox köhnəlmiş brauzerlə zərərli sayta daxil olursa. SvelteKit 1.15.2 bu problem üçün yamaq ehtiva edir. Həmçinin, xüsusilə yüksəltmə vaxtında həyata keçirilə bilmirsə, autentifikasiya kukilərində `SameSite` atributunun `None`-dan fərqli bir dəyərə açıq şəkildə təyin edilməsi tövsiyə olunur.