CVE-2020-26251

Open Zaak, vaka yönetimine yönelik Hollanda yaklaşımı olan zaakgericht werken'i etkinleştirmek için geliştirilmiş modern ve açık kaynaklı bir veri ve servis katmanıdır. Open Zaak sürüm 1.3.3 öncesinde, Cross-Origin-Resource-Sharing politikası tamamen açıktır ve her istemciye izin verilmektedir. Bu durum, evil.com'un bilinen Open Zaak kurulumlarına AJAX çağrıları yapan betikler çalıştırmasına olanak tanır ve tarayıcı bunları engellemez. Bunun yalnızca localhost/127.0.0.1 üzerinde çalışan geliştirme makineleri için geçerli olması amaçlanmıştı. Open Zaak 1.3.3, CORS özelliğini varsayılan olarak devre dışı bırakırken, ortam değişkenleri aracılığıyla etkinleştirilmesine izin verir. Zafiyet aslında şu nedenlerle istismar edilebilir görünmemektedir: a) Oturum çerezi, Cross-Origin isteklerinde gönderilmesini önleyen `Same-Site: Lax` politikasına sahiptir. b) (Üretim) verilerine erişim sağlayan tüm sayfalar giriş korumalıdır. c) `Access-Control-Allow-Credentials` değeri `false` olarak ayarlanmıştır. d) Güvenilir izin listesine açıkça eklenmedikleri için CSRF kontrolleri muhtemelen uzak kaynağı engeller.