CVE-2026-30246
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W frameworku Fiber dla Go w wersjach do 3.1.0 włącznie domyślny generator kluczy w middleware cache używa tylko ścieżki żądania, pomijając query string. W efekcie żądania do tej samej ścieżki z różnymi parametrami mogą współdzielić klucz cache i otrzymać niewłaściwą odpowiedź. Problem naprawiono po wersji 3.1.0.
Ocena ryzyka
Może dojść do pomieszania odpowiedzi dla endpointów zależnych od parametrów zapytania, co grozi ujawnieniem danych przeznaczonych dla innego żądania. Ryzyko dotyczy aplikacji korzystających z cache middleware.
Rekomendacja
Należy zaktualizować github.com/gofiber/fiber/v3 do wersji nowszej niż 3.1.0 lub dostosować generator kluczy cache tak, aby uwzględniał query string.
Inne podatności w Fiber
Zobacz wszystkie- CVE-2026-119285Średnie
Fiber to framework webowy w Go inspirowany Express. W wersjach od 2.52.1 do 2.52.3 mechanizm dopasowywania wildcard validateDomain w middleware CORS (middleware/cors/utils.go) usuwa schemat i sprawdza jedynie sufiks hosta bez wymagania granicy kropki. Aplikacja skonfigurowana z wartością AllowOrigins zawierającą wildcard subdomeny i włączonym AllowCredentials może odzwierciedlić niepowiązane pochodzenie kontrolowane przez atakującego, którego host jedynie kończy się skonfigurowaną domeną bazową.
- CVE-2026-53624Średnie
W bibliotece Fiber (framework web w Go) przed wersją 3.4.0, middleware helmet nieprawidłowo sprawdza protokół HTTPS, przez co nagłówek Strict-Transport-Security nie jest ustawiany nawet przy skonfigurowanym HSTSMaxAge. Błąd został naprawiony w wersji 3.4.0.
- CVE-2026-45045Średnie
W bibliotece Fiber (Go) w wersjach przed 3.3.0 i 2.52.14, funkcja pomocnicza BalancerForward w middleware/proxy/proxy.go używa metody Header.Add() zamiast Header.Set() przy dodawaniu nagłówka X-Real-IP. Pozwala to atakującemu na wstrzyknięcie własnej wartości X-Real-IP, która jest następnie przekazywana do serwerów nadrzędnych.
- CVE-2026-44332Średnie
W bibliotece Fiber (Go) w wersji przed 3.3.0 domyślna funkcja autoryzacji w middleware BasicAuth używa leniwej ewaluacji, która pomija porównanie hasha hasła dla nieistniejących nazw użytkowników. Umożliwia to zdalne wyliczenie prawidłowych nazw użytkowników na podstawie różnic w czasie odpowiedzi.
- CVE-2026-42554Średnie
W frameworku Fiber dla języka Go przed wersjami 2.52.12 i 3.1.0 występuje podatność Cross-Site Scripting. Zdalny atakujący może wstrzyknąć dowolny HTML/JavaScript, dostarczając nagłówek Accept: text/html w żądaniu, którego handler przekazuje dane pod wpływem atakującego do funkcji AutoFormat(). Podatność naprawiono w wersjach 2.52.12 i 3.1.0.
Oryginalny opis (angielski, źródło NVD)
Fiber is a web framework for Go. In github.com/gofiber/fiber/v3 versions through 3.1.0, the default key generator in the cache middleware uses only the request path and does not include the query string. As a result, requests for the same path with different query parameters can share a cache key and receive the wrong cached response. This can cause response mix-up for query-dependent endpoints and may expose data intended for a different request. This issue is fixed after version 3.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS