CVE-2024-25124

Fiber Go dilində yazılmış veb freymvorkdur. Versiya 2.52.1-dən əvvəlki versiyalarda CORS middleware-i tətbiqi çoxsaylı CORS ilə bağlı zəifliklərə məruz qoya biləcək təhlükəsiz olmayan konfiqurasiyalara yol verir. Xüsusilə, bu, tövsiyə olunan təhlükəsizlik təcrübələrinə zidd olaraq, Access-Control-Allow-Credentials parametrinin true olduğu halda Access-Control-Allow-Origin başlığının joker simvolla (`*`) təyin edilməsinə icazə verir. Bu yanlış konfiqurasiyanın təsiri yüksəkdir, çünki bu, həssas istifadəçi məlumatlarına icazəsiz girişə səbəb ola və sistemi istinadlarda link verilmiş PortSwigger məqaləsində sadalanan müxtəlif növ hücumlara məruz qoya bilər. Versiya 2.52.1-də bu problem üçün yamaq mövcuddur. Müvəqqəti həll yolu kimi, istifadəçilər etibarnamələr aktiv olduqda joker simvollu mənşəyə (wildcard origin) icazə verilmədiyindən əmin olmaq üçün öz tətbiqlərində CORS konfiqurasiyalarını əllə yoxlaya bilərlər. Brauzer fetch API-si, həmçinin CORS siyasətlərini tətbiq edən brauzerlər və utilitlər bundan təsirlənmir.