Gofiber 存在CORS凭证泄露漏洞 (CVE-2024-25124)

漏洞类型 过度许可的跨域白名单 发现时间 2024-02-22 漏洞等级 严重
MPS编号 MPS-qoe4-atu2 CVE编号 CVE-2024-25124 漏洞影响广度 广

漏洞危害

OSCS 描述
Gofiber 是一个基于Go语言的轻量级web框架。
受影响版本中,Web应用中的CORS中间件允许不安全的配置(例如:同时设置Access-Control-Allow-Origin 通配符`*`并且Access-Control-Allow-Credentials为true),攻击者可以利用这种不安全的配置,通过构造特定的跨源请求窃取其他用户的用户凭证(如cookies、HTTP认证信息等)。
浏览器提供的 fetch API 以及强制执行 CORS 策略的浏览器和实用程序不受此漏洞影响。
参考链接:https://www.oscs1024.com/hd/MPS-qoe4-atu2

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
github.com/gofiber/fiber/v2 (-∞, 2.52.1) 升级 将组件 github.com/gofiber/fiber/v2 升级至 2.52.1 及以上版本
github.com/gofiber/fiber/v2/middleware/cors (-∞, 2.52.1) 升级 将组件 github.com/gofiber/fiber/v2/middleware/cors 升级至 2.52.1 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-qoe4-atu2

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-qoe4-atu2

https://nvd.nist.gov/vuln/detail/CVE-2024-25124

https://github.com/gofiber/fiber/commit/f0cd3b44b086544a37886232d0530601f2406c23

https://github.com/gofiber/fiber/security/advisories/GHSA-fmg4-x8pw-hjhg

(0)
上一篇 2024年2月22日 下午12:00
下一篇 2024年2月23日 上午12:00

相关推荐

  • apache-airflow-providers-mongo SSL证书验证不当漏洞 (CVE-2024-25141)

    漏洞类型 证书验证不恰当 发现时间 2024-02-21 漏洞等级 低危 MPS编号 MPS-qd75-4bfu CVE编号 CVE-2024-25141 漏洞影响广度 小 漏洞危害 OSCS 描述 apache-airflow-providers-mongo 是 Apache Airflow 用于连接和操作MongoDB数据库的组件。 apache-air…

    2024年2月21日
    0
  • Adobe Acrobat Reader 代码执行漏洞 (CVE-2023-26369)

    漏洞类型 输入验证不恰当 发现时间 2023-09-13 漏洞等级 高危 MPS编号 MPS-2023-5421 CVE编号 CVE-2023-26369 漏洞影响广度 广 漏洞危害 OSCS 描述 Adobe Acrobat Reader 是用于打开和使用在 Adobe Acrobat 中创建的 Adobe PDF 的工具。 在Adobe Acrobat …

    2023年9月14日
    0
  • MLflow<2.9.1 存在SSTI漏洞 (CVE-2023-6709)

    漏洞类型 模板注入 发现时间 2023-12-12 漏洞等级 严重 MPS编号 MPS-sv6t-fu0k CVE编号 CVE-2023-6709 漏洞影响广度 小 漏洞危害 OSCS 描述 MLflow 是用于管理机器学习生命周期的开源平台,recipes 是用于快速构建模型的框架。 MLflow 之前版本中由于直接使用 jinja2 模版引擎加载用户可控…

    2023年12月13日
    0
  • Telegram Windows客户端可执行文件限制不当RCE漏洞 (MPS-38wf-ilyv)

    漏洞类型 不完整的黑名单 发现时间 2024-04-13 漏洞等级 高危 MPS编号 MPS-38wf-ilyv CVE编号 – 漏洞影响广度 小 漏洞危害 OSCS 描述 Telegram是提供开源客户端的跨平台即时通信软件。 在其客户端中通过黑名单限制Windows下可执行文件后缀,由于黑名单列表错误拼写了python zipapp后缀pyz…

    漏洞 2024年4月15日
    0
  • 腾讯QQ Windows版客户端1-click远程代码执行风险 (MPS-0z86-njh3) [有POC]

    漏洞类型 从非可信控制范围包含功能例程 发现时间 2023-08-21 漏洞等级 高危 MPS编号 MPS-0z86-njh3 CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 QQ 是一个多平台即时通信软件。QQ Windows版客户端 9.7.15之前版本中存在逻辑设计缺陷,当消息中包含引用的文件时,直接点击即完成下载和打开操作,缺…

    2023年8月22日
    0