CVE-2025-46721

ملخص

nosurf هو برنامج وسيط للحماية من تزوير الطلبات عبر المواقع (CSRF) للغة Go. تسمح ثغرة أمنية في الإصدارات السابقة للإصدار 1.2.0 لمهاجم يتحكم في المحتوى على الموقع المستهدف، أو على نطاق فرعي من الموقع المستهدف (سواء عبر XSS أو بأي وسيلة أخرى)، بتجاوز فحوصات CSRF وإرسال طلبات نيابةً عن المستخدم. بسبب سوء استخدام مكتبة `net/http` في Go، يصنّف nosurf جميع الطلبات الواردة كطلبات HTTP نصية عادية، وفي هذه الحالة لا يتم التحقق من أن ترويسة `Referer` لها نفس أصل صفحة الويب المستهدفة. إذا كان المهاجم يتحكم في محتوى HTML إما على الموقع المستهدف (مثل `example.com`)، أو على موقع مستضاف على نطاق فرعي من الموقع المستهدف (مثل `attacker.example.com`)، فسيكون قادرًا أيضًا على التلاعب بملفات تعريف الارتباط (cookies) المعيّنة للموقع المستهدف. من خلال الحصول على رمز CSRF السري من ملف تعريف الارتباط، أو استبدال ملف تعريف الارتباط برمز جديد معروف للمهاجم، يمكن لـ `attacker.example.com` صياغة طلبات عبر المواقع إلى `example.com`. تم إصدار تصحيح لهذه الثغرة في nosurf 1.2.0. بدلاً من الترقية إلى إصدار مصحح من nosurf، يمكن للمستخدمين أيضًا استخدام برنامج وسيط HTTP آخر لضمان أن طلب HTTP غير الآمن يأتي من نفس الأصل (مثلًا من خلال اشتراط وجود ترويسة `Sec-Fetch-Site: same-origin` في الطلب).

• nosurf-cve-2025-46721PoC

  إثبات المفهوم وتحليل لـ CVE-2025-46721، وهي ثغرة من نوع CSRF في مكتبة nosurf للغة Go بسبب فشل فحوصات نفس المصدر، مع عرض استغلال عملي.