Podatności Fiber

Fiber to framework webowy w Go inspirowany Express. W wersjach od 2.52.1 do 2.52.3 mechanizm dopasowywania wildcard validateDomain w middleware CORS (middleware/cors/utils.go) usuwa schemat i sprawdza jedynie sufiks hosta bez wymagania granicy kropki. Aplikacja skonfigurowana z wartością AllowOrigins zawierającą wildcard subdomeny i włączonym AllowCredentials może odzwierciedlić niepowiązane pochodzenie kontrolowane przez atakującego, którego host jedynie kończy się skonfigurowaną domeną bazową.

W bibliotece Fiber (framework web w Go) przed wersją 3.4.0, middleware helmet nieprawidłowo sprawdza protokół HTTPS, przez co nagłówek Strict-Transport-Security nie jest ustawiany nawet przy skonfigurowanym HSTSMaxAge. Błąd został naprawiony w wersji 3.4.0.

W bibliotece Fiber (Go) w wersjach przed 3.3.0 i 2.52.14, funkcja pomocnicza BalancerForward w middleware/proxy/proxy.go używa metody Header.Add() zamiast Header.Set() przy dodawaniu nagłówka X-Real-IP. Pozwala to atakującemu na wstrzyknięcie własnej wartości X-Real-IP, która jest następnie przekazywana do serwerów nadrzędnych.

W bibliotece Fiber (Go) w wersji przed 3.3.0 domyślna funkcja autoryzacji w middleware BasicAuth używa leniwej ewaluacji, która pomija porównanie hasha hasła dla nieistniejących nazw użytkowników. Umożliwia to zdalne wyliczenie prawidłowych nazw użytkowników na podstawie różnic w czasie odpowiedzi.

W frameworku Fiber dla języka Go przed wersjami 2.52.12 i 3.1.0 występuje podatność Cross-Site Scripting. Zdalny atakujący może wstrzyknąć dowolny HTML/JavaScript, dostarczając nagłówek Accept: text/html w żądaniu, którego handler przekazuje dane pod wpływem atakującego do funkcji AutoFormat(). Podatność naprawiono w wersjach 2.52.12 i 3.1.0.

W frameworku Fiber dla Go w wersjach do 3.1.0 włącznie domyślny generator kluczy w middleware cache używa tylko ścieżki żądania, pomijając query string. W efekcie żądania do tej samej ścieżki z różnymi parametrami mogą współdzielić klucz cache i otrzymać niewłaściwą odpowiedź. Problem naprawiono po wersji 3.1.0.