CVE-2025-50864
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Biblioteka elysia-cors do wersji 1.3.0 zawiera błąd walidacji pochodzenia żądań, który pozwala na obejście ograniczeń CORS. Zamiast dokładnego dopasowania domeny, biblioteka sprawdza, czy podany origin jest podciągiem dowolnej domeny z polityki CORS, co umożliwia atakującym wykorzystanie fałszywych domen, np. "notexample.com" lub "example.common.net", gdy polityka zawiera "example.com".
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych użytkowników w aplikacjach korzystających z tej biblioteki, co prowadzi do naruszenia poufności i potencjalnie do kradzieży sesji lub danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę elysia-cors do wersji nowszej niż 1.3.0, która zawiera poprawkę walidacji pochodzenia. Jeśli aktualizacja nie jest możliwa, należy wdrożyć własną, dokładną walidację domen w konfiguracji CORS.
Oryginalny opis (angielski, źródło NVD)
An Origin Validation Error in the elysia-cors library thru 1.3.0 allows attackers to bypass Cross-Origin Resource Sharing (CORS) restrictions. The library incorrectly validates the supplied origin by checking if it is a substring of any domain in the site's CORS policy, rather than performing an exact match. For example, a malicious origin like "notexample.com", "example.common.net" is whitelisted when the site's CORS policy specifies "example.com." This vulnerability enables unauthorized access to user data on sites using the elysia-cors library for CORS validation.