CVE-2023-29020

@fastify/passport, Fastify ekosistemi üçün passport autentifikasiya kitabxanasının portudur. Təsirə məruz qalan versiyalarda `@fastify/csrf-protection` kitabxanası tərəfindən tətbiq edilən CSRF (Cross-Site Request Forgery) mühafizəsi şəbəkə və eyni sayt hücumçuları tərəfindən yan keçilə bilər. `fastify/csrf-protection`, CSRF tokeninin generasiyası üçün istifadə olunan təsadüfi dəyəri istifadəçinin sessiyasının `_csrf` atributunda saxlayaraq sinxronizator token modelini ( `@fastify/session` və `@fastify/secure-session` plaginlərindən istifadə etməklə) həyata keçirir. `@fastify/passport` kitabxanası autentifikasiya zamanı sessiya obyektini təmizləmir və beləliklə, girişdən əvvəlki və autentifikasiya olunmuş sessiyalar arasında `_csrf` atributunu qoruyub saxlayır. Nəticədə, autentifikasiyadan əvvəl generasiya edilmiş CSRF tokenləri hələ də etibarlı qalır. Beləliklə, şəbəkə və eyni sayt hücumçuları öz ön-sessiyaları üçün CSRF tokeni əldə edə, kuki atma (cookie tossing) vasitəsilə həmin ön-sessiyanı qurbanın brauzerində sabitləşdirə və daha sonra qurban autentifikasiya olduqdan sonra CSRF hücumu həyata keçirə bilərlər. Həll yolu kimi, `@fastify/passport`-un yeni versiyalarına standart olaraq bütün sessiya atributlarını təmizləmək və yalnız `clearSessionIgnoreFields`-də açıq şəkildə təyin olunanları saxlamaq üçün `clearSessionOnLogin (defolt: true)` və `clearSessionIgnoreFields (defolt: ['passport', 'session'])` konfiqurasiya seçimləri əlavə edilmişdir.