CVE-2026-45045

Fiber to framework webowy w Go inspirowany Express. W wersjach od 2.52.1 do 2.52.3 mechanizm dopasowywania wildcard validateDomain w middleware CORS (middleware/cors/utils.go) usuwa schemat i sprawdza jedynie sufiks hosta bez wymagania granicy kropki. Aplikacja skonfigurowana z wartością AllowOrigins zawierającą wildcard subdomeny i włączonym AllowCredentials może odzwierciedlić niepowiązane pochodzenie kontrolowane przez atakującego, którego host jedynie kończy się skonfigurowaną domeną bazową.

W bibliotece Fiber (framework web w Go) przed wersją 3.4.0, middleware helmet nieprawidłowo sprawdza protokół HTTPS, przez co nagłówek Strict-Transport-Security nie jest ustawiany nawet przy skonfigurowanym HSTSMaxAge. Błąd został naprawiony w wersji 3.4.0.

W bibliotece Fiber (Go) w wersji przed 3.3.0 domyślna funkcja autoryzacji w middleware BasicAuth używa leniwej ewaluacji, która pomija porównanie hasha hasła dla nieistniejących nazw użytkowników. Umożliwia to zdalne wyliczenie prawidłowych nazw użytkowników na podstawie różnic w czasie odpowiedzi.

W frameworku Fiber dla języka Go przed wersjami 2.52.12 i 3.1.0 występuje podatność Cross-Site Scripting. Zdalny atakujący może wstrzyknąć dowolny HTML/JavaScript, dostarczając nagłówek Accept: text/html w żądaniu, którego handler przekazuje dane pod wpływem atakującego do funkcji AutoFormat(). Podatność naprawiono w wersjach 2.52.12 i 3.1.0.

W frameworku Fiber dla Go w wersjach do 3.1.0 włącznie domyślny generator kluczy w middleware cache używa tylko ścieżki żądania, pomijając query string. W efekcie żądania do tej samej ścieżki z różnymi parametrami mogą współdzielić klucz cache i otrzymać niewłaściwą odpowiedź. Problem naprawiono po wersji 3.1.0.