CVE-2023-29020

@fastify/passport, passport kimlik doğrulama kütüphanesinin Fastify ekosistemi için bir portudur. Etkilenen sürümlerde `@fastify/passport` ile birlikte kullanıldığında, `@fastify/csrf-protection` kütüphanesi tarafından uygulanan CSRF (Siteler Arası İstek Sahteciliği) koruması, ağ ve aynı site saldırganları tarafından atlatılabilir. `fastify/csrf-protection`, CSRF belirteci oluşturmak için kullanılan rastgele bir değeri kullanıcı oturumunun `_csrf` özniteliğinde saklayarak (`@fastify/session` ve `@fastify/secure-session` eklentilerini kullanarak) senkronize belirteç desenini uygular. `@fastify/passport` kütüphanesi, kimlik doğrulama sırasında oturum nesnesini temizlemez ve böylece giriş öncesi ile kimliği doğrulanmış oturumlar arasında `_csrf` özniteliğini korur. Sonuç olarak, kimlik doğrulama öncesinde oluşturulan CSRF belirteçleri hala geçerli kalır. Bu sayede ağ ve aynı site saldırganları, kendi ön oturumları için bir CSRF belirteci elde edebilir, bu ön oturumu çerez fırlatma (cookie tossing) yoluyla kurbanın tarayıcısına sabitleyebilir ve ardından kurban kimlik doğruladıktan sonra bir CSRF saldırısı gerçekleştirebilir. Çözüm olarak, `@fastify/passport`un yeni sürümleri; varsayılan olarak tüm oturum özniteliklerini temizlemek ve yalnızca `clearSessionIgnoreFields` içinde açıkça tanımlananları korumak için `clearSessionOnLogin (varsayılan: true)` ve `clearSessionIgnoreFields (varsayılan: ['passport', 'session'])` yapılandırma seçeneklerini içerir.