CVE-2025-46721

요약

nosurf는 Go를 위한 교차 사이트 요청 위조(CSRF) 보호 미들웨어입니다. 1.2.0 이전 버전의 취약점으로 인해 대상 사이트 또는 대상 사이트의 하위 도메인에서 콘텐츠를 제어하는 공격자(XSS 또는 기타 경로를 통해)가 CSRF 검사를 우회하고 사용자를 대신하여 요청을 발행할 수 있습니다. Go `net/http` 라이브러리의 잘못된 사용으로 인해 nosurf는 모든 수신 요청을 일반 텍스트 HTTP 요청으로 분류하며, 이 경우 `Referer` 헤더가 대상 웹페이지와 동일한 출처인지 확인하지 않습니다. 공격자가 대상 웹사이트(예: `example.com`) 또는 대상의 하위 도메인에 호스팅된 웹사이트(예: `attacker.example.com`)에서 HTML 콘텐츠를 제어할 수 있다면, 대상 웹사이트에 설정된 쿠키도 조작할 수 있습니다. 쿠키에서 비밀 CSRF 토큰을 획득하거나 공격자가 알고 있는 새 토큰으로 쿠키를 덮어씀으로써 `attacker.example.com`은 `example.com`에 대한 교차 사이트 요청을 구성할 수 있습니다. 이 문제에 대한 패치는 nosurf 1.2.0에서 릴리스되었습니다. 패치된 버전의 nosurf로 업그레이드하는 대신, 사용자는 다른 HTTP 미들웨어를 추가로 사용하여 안전하지 않은 HTTP 요청이 동일한 출처에서 오는지 확인할 수 있습니다(예: 요청에 `Sec-Fetch-Site: same-origin` 헤더를 요구).

• nosurf-cve-2025-46721PoC

  CVE-2025-46721에 대한 개념 증명 및 분석: nosurf Go 라이브러리의 동일 출처 검사가 제대로 작동하지 않아 발생하는 CSRF 취약점이며, 작동하는 익스플로잇 데모를 포함합니다.