CVE-2025-46721

Riepilogo

nosurf è un middleware di protezione contro la cross-site request forgery (CSRF) per Go. Una vulnerabilità nelle versioni precedenti alla 1.2.0 consente a un attaccante che controlla i contenuti sul sito target, o su un sottodominio del sito target (tramite XSS o altri mezzi), di bypassare i controlli CSRF e inviare richieste per conto dell'utente. A causa di un uso improprio della libreria `net/http` di Go, nosurf categorizza tutte le richieste in arrivo come richieste HTTP in testo semplice, nel qual caso l'header `Referer` non viene verificato per assicurarsi che abbia la stessa origine della pagina web target. Se l'attaccante ha il controllo dei contenuti HTML sul sito target (ad es. `example.com`), o su un sito ospitato su un sottodominio del target (ad es. `attacker.example.com`), sarà anche in grado di manipolare i cookie impostati per il sito target. Acquisendo il token CSRF segreto dal cookie, o sovrascrivendo il cookie con un nuovo token noto all'attaccante, `attacker.example.com` è in grado di creare richieste cross-site verso `example.com`. Una patch per il problema è stata rilasciata in nosurf 1.2.0. In alternativa all'aggiornamento a una versione patchata di nosurf, gli utenti possono anche utilizzare un altro middleware HTTP per garantire che una richiesta HTTP non sicura provenga dalla stessa origine (ad es. richiedendo un header `Sec-Fetch-Site: same-origin` nella richiesta).

• nosurf-cve-2025-46721PoC

  Prova di concetto e analisi di CVE-2025-46721, una vulnerabilità CSRF nella libreria Go nosurf a causa di controlli same-origin non funzionanti, con una dimostrazione di exploit funzionante.