CVE-2026-118681
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W bibliotece go-chi chi przed wersją 5.5.0 występuje obejście uwierzytelniania w middleware.SupressNotFound, które wywołuje Match z aktywnym kontekstem routingu i pozostawia parametr oraz sufiks podrzędny zamontowanego routera do dyspozycji zewnętrznego routera. Nieuwierzytelniony atakujący może zażądać zamontowanej ścieżki, której sufiks pasuje do zewnętrznej trasy publicznej, pomijając middleware uwierzytelniania i uzyskując dane w zakresie tenanta.
Ocena ryzyka
Możliwe jest nieautoryzowane pobranie danych należących do konkretnego tenanta z pominięciem uwierzytelniania. Narusza to izolację tenantów i poufność danych w aplikacjach korzystających z go-chi.
Rekomendacja
Zaktualizuj bibliotekę go-chi chi do wersji 5.5.0 lub nowszej. Przejrzyj konfigurację zamontowanych routerów i middleware uwierzytelniania pod kątem potencjalnego wpływu.
Inne podatności w go-chi chi
Zobacz wszystkie- CVE-2026-72817Średnie
go-chi/chi w wersjach od 0.9.0 do przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ustala źródłowy adres IP żądania (Request.RemoteAddr) na podstawie pierwszego adresu IP w nagłówku X-Forwarded-For bez weryfikacji zaufanych proxy. Złośliwy klient może dodać sfałszowany adres IP jako pierwszą wartość nagłówka X-Forwarded-For, aby podszyć się pod źródło żądania, potencjalnie omijając kontrolę dostępu lub fałszując logi żądań.
- CVE-2026-72816Średnie
go-chi/chi do wersji 5.2.1 zawiera podatność na spoofing IP w middleware RealIP (middleware/realip.go). Funkcja realIP() odczytuje kontrolowane przez klienta nagłówki (True-Client-IP, X-Real-IP i X-Forwarded-For) i nadpisuje r.RemoteAddr bez weryfikacji, czy żądanie pochodzi od zaufanego proxy. Atakujący mogą podać dowolne adresy IP w tych nagłówkach, aby ominąć kontrolę dostępu opartą na IP, uniknąć limitów szybkości i ograniczeń geo-IP oraz zanieczyścić logi audytowe. Naprawiono w wersji 5.3.0.
- CVE-2026-72815Średnie
go-chi chi w wersjach >= 5.2.1 i przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ślepo ufa pierwszej (skrajnie lewej) wartości nagłówka X-Forwarded-For. Zdalny atakujący może ominąć listy kontroli dostępu oparte na IP i mechanizmy ograniczania szybkości oraz sfałszować wpisy logów, podając sfałszowany adres IP w nagłówku X-Forwarded-For. Problem naprawiono w wersji 5.3.0.
- CVE-2025-69725Średnie
Podatność Open Redirect w funkcji RedirectSlashes biblioteki go-chi/chi w wersji 5.2.2 i nowszych umożliwia zdalnym atakującym przekierowanie ofiar na złośliwe strony przy użyciu domeny legalnej witryny.
Oryginalny opis (angielski, źródło NVD)
go-chi chi before 5.5.0 contains an authentication bypass in middleware.SupressNotFound, which calls Match with the live routing context and leaves a mounted router's parameter and child suffix in place for dispatch against the outer router. Unauthenticated attackers can request a mounted path whose suffix matches an outer public route, skipping the mounted authentication middleware and retrieving tenant-scoped data when that outer handler trusts the retained mount parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS