CVE-2025-46721

总结

nosurf 是用于 Go 的跨站请求伪造（CSRF）防护中间件。在 1.2.0 之前的版本中存在一个漏洞，允许控制目标站点内容或目标站点子域名内容（无论是通过 XSS 还是其他方式）的攻击者绕过 CSRF 检查，并以用户名义发起请求。由于误用了 Go 的 `net/http` 库，nosurf 将所有传入请求归类为纯文本 HTTP 请求，在这种情况下，`Referer` 头不会被检查是否与目标网页同源。如果攻击者能够控制目标网站（例如 `example.com`）上的 HTML 内容，或控制托管在目标子域名（例如 `attacker.example.com`）上的网站内容，他们还将能够操纵为目标网站设置的 cookie。通过从 cookie 中获取秘密 CSRF 令牌，或使用攻击者已知的新令牌覆盖 cookie，`attacker.example.com` 能够构造针对 `example.com` 的跨站请求。该问题的补丁已在 nosurf 1.2.0 中发布。如果无法升级到已修补的 nosurf 版本，用户还可以额外使用另一个 HTTP 中间件，以确保非安全 HTTP 请求来自同一来源（例如，要求请求中包含 `Sec-Fetch-Site: same-origin` 头）。

• nosurf-cve-2025-46721PoC

  对CVE-2025-46721的概念验证与分析，该漏洞是nosurf Go库中的一个CSRF漏洞，由同源检查功能失效导致，附带可用的利用演示。