CVE-2026-53624
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W bibliotece Fiber (framework web w Go) przed wersją 3.4.0, middleware helmet nieprawidłowo sprawdza protokół HTTPS, przez co nagłówek Strict-Transport-Security nie jest ustawiany nawet przy skonfigurowanym HSTSMaxAge. Błąd został naprawiony w wersji 3.4.0.
Ocena ryzyka
Brak nagłówka HSTS naraża aplikację na ataki typu downgrade oraz przechwytywanie ruchu przez nieuprawnione strony, co może prowadzić do kradzieży danych sesji lub tokenów uwierzytelniających.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Fiber do wersji 3.4.0 lub nowszej, która poprawnie ustawia nagłówek Strict-Transport-Security.
Inne podatności w Fiber
Zobacz wszystkie- CVE-2026-45045Średnie
W bibliotece Fiber (Go) w wersjach przed 3.3.0 i 2.52.14, funkcja pomocnicza BalancerForward w middleware/proxy/proxy.go używa metody Header.Add() zamiast Header.Set() przy dodawaniu nagłówka X-Real-IP. Pozwala to atakującemu na wstrzyknięcie własnej wartości X-Real-IP, która jest następnie przekazywana do serwerów nadrzędnych.
- CVE-2026-44332Średnie
W bibliotece Fiber (Go) w wersji przed 3.3.0 domyślna funkcja autoryzacji w middleware BasicAuth używa leniwej ewaluacji, która pomija porównanie hasha hasła dla nieistniejących nazw użytkowników. Umożliwia to zdalne wyliczenie prawidłowych nazw użytkowników na podstawie różnic w czasie odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
Fiber is an Express inspired web framework written in Go. Prior to 3.4.0, the helmet middleware in middleware/helmet/helmet.go never sets the Strict-Transport-Security response header even when HSTSMaxAge is configured because it checks c.Protocol() for https instead of c.Scheme(). This issue is fixed in version 3.4.0.