CVE-2025-46721

nosurf, Go için bir siteler arası istek sahteciliği (CSRF) koruma ara yazılımıdır. 1.2.0 öncesindeki sürümlerde bulunan bir güvenlik açığı, hedef sitedeki veya hedef sitenin bir alt alan adındaki içeriği kontrol eden bir saldırganın (XSS yoluyla veya başka bir şekilde), CSRF kontrollerini atlamasına ve kullanıcı adına istekler göndermesine olanak tanır. Go `net/http` kütüphanesinin yanlış kullanımı nedeniyle nosurf, tüm gelen istekleri düz metin HTTP istekleri olarak kategorize eder; bu durumda `Referer` başlığının hedef web sayfası ile aynı kaynağa sahip olup olmadığı kontrol edilmez. Saldırgan, hedef web sitesindeki (örneğin `example.com`) veya hedefin bir alt alan adında barındırılan bir web sitesindeki (örneğin `attacker.example.com`) HTML içerikleri üzerinde kontrole sahipse, hedef web sitesi için ayarlanan çerezleri de manipüle edebilir. Çerezden gizli CSRF belirtecini elde ederek veya çerezi saldırgan tarafından bilinen yeni bir belirteçle değiştirerek, `attacker.example.com`, `example.com` adresine siteler arası istekler oluşturabilir. Sorun için nosurf 1.2.0 sürümünde bir yama yayınlanmıştır. nosurf'ün yamalanmış bir sürümüne yükseltmek yerine, kullanıcılar güvenli olmayan bir HTTP isteğinin aynı kaynaktan geldiğinden emin olmak için ek olarak başka bir HTTP ara yazılımı kullanabilirler (örneğin, istekte `Sec-Fetch-Site: same-origin` başlığı gerektirerek).