CVE-2026-44332
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W bibliotece Fiber (Go) w wersji przed 3.3.0 domyślna funkcja autoryzacji w middleware BasicAuth używa leniwej ewaluacji, która pomija porównanie hasha hasła dla nieistniejących nazw użytkowników. Umożliwia to zdalne wyliczenie prawidłowych nazw użytkowników na podstawie różnic w czasie odpowiedzi.
Ocena ryzyka
Atakujący może zdalnie i niezauważenie określić, które nazwy użytkowników są zarejestrowane w systemie, co ułatwia przeprowadzenie ukierunkowanych ataków siłowych lub socjotechnicznych.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Fiber do wersji 3.3.0 lub nowszej, która zawiera poprawkę eliminującą podatność na wyliczanie nazw użytkowników.
Inne podatności w Fiber
Zobacz wszystkie- CVE-2026-53624Średnie
W bibliotece Fiber (framework web w Go) przed wersją 3.4.0, middleware helmet nieprawidłowo sprawdza protokół HTTPS, przez co nagłówek Strict-Transport-Security nie jest ustawiany nawet przy skonfigurowanym HSTSMaxAge. Błąd został naprawiony w wersji 3.4.0.
- CVE-2026-45045Średnie
W bibliotece Fiber (Go) w wersjach przed 3.3.0 i 2.52.14, funkcja pomocnicza BalancerForward w middleware/proxy/proxy.go używa metody Header.Add() zamiast Header.Set() przy dodawaniu nagłówka X-Real-IP. Pozwala to atakującemu na wstrzyknięcie własnej wartości X-Real-IP, która jest następnie przekazywana do serwerów nadrzędnych.
Oryginalny opis (angielski, źródło NVD)
Fiber is an Express inspired web framework written in Go. Prior to 3.3.0, the default Authorizer function in the BasicAuth middleware in middleware/basicauth/config.go uses short-circuit evaluation that skips password hash comparison for non-existent usernames, enabling reliable remote username enumeration through response timing differences. This issue is fixed in version 3.3.0.