CVE-2026-45045
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W bibliotece Fiber (Go) w wersjach przed 3.3.0 i 2.52.14, funkcja pomocnicza BalancerForward w middleware/proxy/proxy.go używa metody Header.Add() zamiast Header.Set() przy dodawaniu nagłówka X-Real-IP. Pozwala to atakującemu na wstrzyknięcie własnej wartości X-Real-IP, która jest następnie przekazywana do serwerów nadrzędnych.
Ocena ryzyka
Organizacja narażona jest na obejście mechanizmów logowania, ograniczania szybkości (rate limiting) oraz kontroli dostępu opartych na adresie IP, co może umożliwić ataki typu spoofing lub DDoS.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Fiber do wersji 3.3.0 lub 2.52.14, w zależności od używanej głównej wersji.
Inne podatności w Fiber
Zobacz wszystkie- CVE-2026-53624Średnie
W bibliotece Fiber (framework web w Go) przed wersją 3.4.0, middleware helmet nieprawidłowo sprawdza protokół HTTPS, przez co nagłówek Strict-Transport-Security nie jest ustawiany nawet przy skonfigurowanym HSTSMaxAge. Błąd został naprawiony w wersji 3.4.0.
- CVE-2026-44332Średnie
W bibliotece Fiber (Go) w wersji przed 3.3.0 domyślna funkcja autoryzacji w middleware BasicAuth używa leniwej ewaluacji, która pomija porównanie hasha hasła dla nieistniejących nazw użytkowników. Umożliwia to zdalne wyliczenie prawidłowych nazw użytkowników na podstawie różnic w czasie odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
Fiber is an Express inspired web framework written in Go. Prior to 3.3.0 and 2.52.14, the BalancerForward proxy helper in middleware/proxy/proxy.go uses Header.Add() instead of Header.Set() when injecting X-Real-IP, allowing an attacker-supplied first X-Real-IP value to be forwarded to upstream servers for logging, rate limiting, and access control. This issue is fixed in version 3.3.0 and 2.52.14.