CVE-2025-24358
Təsvir
gorilla/csrf, Go veb tətbiqləri və xidmətləri üçün Saytlararası Sorğu Saxtakarlığının (CSRF) qarşısının alınması üçün orta təminat (middleware) təqdim edir. 1.7.2 versiyasından əvvəl gorilla/csrf Origin başlığını (header) icazəli siyahıya görə yoxlamır. O, çarpaz mənşəli sorğular üçün Referer başlığının yoxlanılmasını yalnız sorğunun TLS üzərindən xidmət göstərdiyinə inandığı halda həyata keçirir. Bunu r.URL.Scheme dəyərini yoxlayaraq müəyyən edir. Lakin, Go spesifikasiyasına əsasən, bu dəyər "server" sorğuları üçün heç vaxt doldurulmur və buna görə də bu yoxlama praktikada işləmir. Bu zəiflik, alt domen və ya üst səviyyəli domendə XSS əldə etmiş hücumçuya eyni üst səviyyəli domeni paylaşan gorilla/csrf ilə qorunan hədəflərə qarşı autentifikasiya olunmuş forma göndərmələri yerinə yetirməyə imkan verir. Bu zəiflik 1.7.2 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- github.com/gorilla/csrf1.7.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/gorilla/csrfGo | v < 1.7.3 | 1.7.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.