特殊值永远成功漏洞 CVE-2023-45292 GO-2023-2386

[cangkuai]

当store.Verify的answer为空字符串并且id不存在时返回值永远为true
复原代码

package main

import (
	"fmt"
	"strconv"
	"testing"

	"github.com/mojocn/base64Captcha"
)

func TestCat(t *testing.T) {
	var store = base64Captcha.DefaultMemStore
	fmt.Println(strconv.FormatBool(store.Verify("dsad", "", true)))
}

[cangkuai]

破案了，你有v.1.3.5和v1.3.5两个tag，其中v.1.3.5修了，但是v1.3.5没修，但是go认为最新版本是v1.3.5所以是没修的

[mojocn]

破案了，你有v.1.3.5和v1.3.5两个tag，其中v.1.3.5修了，但是v1.3.5没修，但是go认为最新版本是v1.3.5所以是没修的

感谢