CVE-2025-47909

Go (الإصدارات المتأثرة غير محددة)

تسمح المضيفات المدرجة في TrustedOrigins ضمنيًا بتلقي الطلبات من مصادر HTTP المقابلة، مما قد يتيح للمهاجمين عبر الشبكة تنفيذ هجمات تزوير الطلبات بين المواقع (CSRF). بعد إصلاح الثغرة CVE-2025-24358، يتم منع أي مهاجم يحاول إرسال نموذج من http://example.com إلى https://example.com لأن رأس Origin يتم التحقق من صحته مقابل عنوان URL مركب باستخدام sameOrigin. ومع ذلك، فإن إضافة مضيف إلى TrustedOrigins تسمح بكل من مصادر HTTP وHTTPS الخاصة به، حيث يتم تجاهل مخطط عنوان URL الاصطناعي، ويتم التحقق من المضيف فقط. على سبيل المثال، إذا أضاف تطبيق مستضاف على https://example.com موقع example.net إلى TrustedOrigins، فيمكن للمهاجم توفير نموذج على http://example.net لتنفيذ الهجوم.

قم بالترحيل إلى net/http.CrossOriginProtection، الذي تم تقديمه في Go 1.25.

إذا كان الترحيل إلى net/http.CrossOriginProtection غير ممكن، فاستخدم النسخة القديمة المتاحة كوحدة نمطية في filippo.io/csrf.

استخدم البديل المباشر لواجهة برمجة التطبيقات github.com/gorilla/csrf المتاحة في filippo.io/csrf/gorilla.