CVE-2025-46721

Resumo

nosurf é um middleware de proteção contra falsificação de solicitação entre sites (CSRF) para Go. Uma vulnerabilidade em versões anteriores à 1.2.0 permite que um atacante que controla conteúdo no site alvo, ou em um subdomínio do site alvo (seja via XSS, ou de outra forma), contorne as verificações de CSRF e envie solicitações em nome do usuário. Devido ao uso incorreto da biblioteca `net/http` do Go, o nosurf categoriza todas as solicitações recebidas como solicitações HTTP de texto simples, caso em que o cabeçalho `Referer` não é verificado para ter a mesma origem da página web alvo. Se o atacante tiver controle sobre o conteúdo HTML no site alvo (por exemplo, `example.com`), ou em um site hospedado em um subdomínio do alvo (por exemplo, `attacker.example.com`), ele também poderá manipular cookies definidos para o site alvo. Ao adquirir o token CSRF secreto do cookie, ou sobrescrevendo o cookie com um novo token conhecido pelo atacante, `attacker.example.com` é capaz de criar solicitações entre sites para `example.com`. Uma correção para o problema foi lançada no nosurf 1.2.0. Em vez de atualizar para uma versão corrigida do nosurf, os usuários podem adicionalmente usar outro middleware HTTP para garantir que uma solicitação HTTP não segura venha da mesma origem (por exemplo, exigindo um cabeçalho `Sec-Fetch-Site: same-origin` na solicitação).

• nosurf-cve-2025-46721PoC

  Prova de conceito e análise de CVE-2025-46721, uma vulnerabilidade CSRF na biblioteca Go nosurf devido a verificações de mesma origem não funcionais, com demonstração de exploração funcional.