CVE-2026-119285
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Fiber to framework webowy w Go inspirowany Express. W wersjach od 2.52.1 do 2.52.3 mechanizm dopasowywania wildcard validateDomain w middleware CORS (middleware/cors/utils.go) usuwa schemat i sprawdza jedynie sufiks hosta bez wymagania granicy kropki. Aplikacja skonfigurowana z wartością AllowOrigins zawierającą wildcard subdomeny i włączonym AllowCredentials może odzwierciedlić niepowiązane pochodzenie kontrolowane przez atakującego, którego host jedynie kończy się skonfigurowaną domeną bazową.
Ocena ryzyka
Użytkownik odwiedzający takie pochodzenie może ujawnić uwierzytelnione odpowiedzi cross-origin stronie atakującego, co prowadzi do wycieku danych sesji i naruszenia poufności.
Rekomendacja
Zaktualizuj Fiber do wersji 2.52.3 lub nowszej oraz unikaj łączenia wildcard subdomen w AllowOrigins z AllowCredentials.
Inne podatności w Fiber
Zobacz wszystkie- CVE-2026-53624Średnie
W bibliotece Fiber (framework web w Go) przed wersją 3.4.0, middleware helmet nieprawidłowo sprawdza protokół HTTPS, przez co nagłówek Strict-Transport-Security nie jest ustawiany nawet przy skonfigurowanym HSTSMaxAge. Błąd został naprawiony w wersji 3.4.0.
- CVE-2026-45045Średnie
W bibliotece Fiber (Go) w wersjach przed 3.3.0 i 2.52.14, funkcja pomocnicza BalancerForward w middleware/proxy/proxy.go używa metody Header.Add() zamiast Header.Set() przy dodawaniu nagłówka X-Real-IP. Pozwala to atakującemu na wstrzyknięcie własnej wartości X-Real-IP, która jest następnie przekazywana do serwerów nadrzędnych.
- CVE-2026-44332Średnie
W bibliotece Fiber (Go) w wersji przed 3.3.0 domyślna funkcja autoryzacji w middleware BasicAuth używa leniwej ewaluacji, która pomija porównanie hasha hasła dla nieistniejących nazw użytkowników. Umożliwia to zdalne wyliczenie prawidłowych nazw użytkowników na podstawie różnic w czasie odpowiedzi.
- CVE-2026-42554Średnie
W frameworku Fiber dla języka Go przed wersjami 2.52.12 i 3.1.0 występuje podatność Cross-Site Scripting. Zdalny atakujący może wstrzyknąć dowolny HTML/JavaScript, dostarczając nagłówek Accept: text/html w żądaniu, którego handler przekazuje dane pod wpływem atakującego do funkcji AutoFormat(). Podatność naprawiono w wersjach 2.52.12 i 3.1.0.
- CVE-2026-30246Średnie
W frameworku Fiber dla Go w wersjach do 3.1.0 włącznie domyślny generator kluczy w middleware cache używa tylko ścieżki żądania, pomijając query string. W efekcie żądania do tej samej ścieżki z różnymi parametrami mogą współdzielić klucz cache i otrzymać niewłaściwą odpowiedź. Problem naprawiono po wersji 3.1.0.
Oryginalny opis (angielski, źródło NVD)
Fiber is an Express inspired web framework written in Go. From 2.52.1 until 2.52.3, the CORS middleware's validateDomain wildcard matcher in middleware/cors/utils.go strips the scheme and checks only a host suffix without requiring a dot boundary. An application configured with a wildcard-subdomain AllowOrigins value and AllowCredentials enabled can reflect an unrelated attacker-controlled origin whose host merely ends with the configured base domain. A user who visits that origin can expose authenticated cross-origin responses to the attacker's page; empty-label origins and later comma-space parsing hardening are outside this advisory. This issue is fixed in version 2.52.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS