CVE-2019-25211
KrytyczneStreszczenie
W wersjach Gin-Gonic CORS middleware przed 1.6.0 funkcja parseWildcardRules niewłaściwie obsługuje znaki wieloznaczne na końcu ciągu pochodzenia. Przykładowo, https://example.community/* jest dozwolone, gdy zamiarem jest zezwolenie tylko na https://example.com/*, a http://localhost.example.com/* jest dozwolone, gdy zamiarem jest zezwolenie tylko na http://localhost/*.
Ocena ryzyka
Niewłaściwe zarządzanie regułami CORS może prowadzić do nieautoryzowanego dostępu do zasobów, co stwarza ryzyko dla bezpieczeństwa aplikacji i danych użytkowników.
Rekomendacja
Zaleca się aktualizację Gin-Gonic CORS middleware do wersji 1.6.0 lub nowszej, aby naprawić tę podatność i zapewnić prawidłowe zarządzanie regułami CORS.
Oryginalny opis (angielski, źródło NVD)
parseWildcardRules in Gin-Gonic CORS middleware before 1.6.0 mishandles a wildcard at the end of an origin string, e.g., https://example.community/* is allowed when the intention is that only https://example.com/* should be allowed, and http://localhost.example.com/* is allowed when the intention is that only http://localhost/* should be allowed.