CVE-2025-47909

TrustedOrigins siyahısında göstərilən hostlar müvafiq HTTP mənşələrindən gələn sorğulara implicit olaraq icazə verir ki, bu da şəbəkədəki MitM hücumçularına CSRF hücumları həyata keçirməyə imkan yaradır. CVE-2025-24358 düzəlişindən sonra, http://example.com ünvanında forma yerləşdirən şəbəkə hücumçusu onu https://example.com ünvanına göndərə bilmir, çünki Origin başlığı sintetik URL ilə sameOrigin vasitəsilə yoxlanılır. Lakin, əgər bir host TrustedOrigins siyahısına əlavə edilərsə, həm onun HTTP, həm də HTTPS mənşələrinə icazə veriləcək, çünki sintetik URL-in sxemi nəzərə alınmır və yalnız host yoxlanılır. Məsələn, əgər tətbiq https://example.com ünvanında yerləşirsə və example.net ünvanını TrustedOrigins siyahısına əlavə edirsə, şəbəkə hücumçusu hücumu həyata keçirmək üçün http://example.net ünvanında forma təqdim edə bilər. Tətbiqlər Go 1.25 versiyasında təqdim edilən net/http.CrossOriginProtection-a keçid etməlidirlər. Əgər bu mümkün deyilsə, filippo.io/csrf modulunda backport mövcuddur və github.com/gorilla/csrf API-nin alternativ əvəzedicisi filippo.io/csrf/gorilla ünvanında təqdim olunub.