中危 @koa/cors 存在同源验证不当漏洞(CVE-2023-49803)
CVE编号
CVE-2023-49803利用情况
暂无补丁情况
官方补丁披露时间
2023-12-12漏洞描述
@koa/cors 是为 koa Web框架提供跨域资源共享(CORS)的中间件。 @koa/cors 5.0.0之前版本在处理请求时，如果没有提供允许的来源(allowed origin)，则返回的 header 中的 Access-Control-Allow-Origin 会和请求头中的Origin相同，进而导致浏览器的同源策略(SOP)失效。 5.0.0版本中，当处理请求中的非预期来源时将 Access-Control-Allow-Origin 设置为 `*` 修复此漏洞。解决建议
"升级@koa/cors到 5.0.0 或更高版本"
参考链接 |
|
|---|---|
| https://github.com/koajs/cors/commit/f31dac99f5355c41e7d4dd3c4a80c5f154941a11 | |
| https://github.com/koajs/cors/security/advisories/GHSA-qxrj-hx23-xp82 |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | koajs | cross-origin_resource_sharing_for_koa | * | Up to (excluding) 5.0.0 | |||||
- 攻击路径 远程
- 攻击复杂度 复杂
- 权限要求 普通权限
- 影响范围 全局影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-346 | 源验证错误 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论