CVE-2025-24358
Açıklama
gorilla/csrf, Go web uygulamaları ve servisleri için Siteler Arası İstek Sahteciliği (CSRF) önleme ara yazılımı sağlar. 1.7.2 sürümünden önce gorilla/csrf, Origin başlığını bir izin listesine göre doğrulamamaktadır. Kökenler arası istekler için Referer başlığı doğrulamasını yalnızca isteğin TLS üzerinden sunulduğuna inandığında yürütür. Bunu r.URL.Scheme değerini inceleyerek belirler. Ancak, Go spesifikasyonuna göre bu değer "sunucu" istekleri için hiçbir zaman doldurulmaz ve bu nedenle bu kontrol pratikte çalışmaz. Bu güvenlik açığı, bir alt alan adında veya üst düzey alan adında XSS elde etmiş bir saldırganın, aynı üst düzey alan adını paylaşan gorilla/csrf korumalı hedeflere karşı kimliği doğrulanmış form gönderimleri yapmasına olanak tanır. Bu güvenlik açığı 1.7.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/gorilla/csrf1.7.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/gorilla/csrfGo | v < 1.7.3 | 1.7.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.