CVE-2026-42554
Təsvir
Fiber, Go üçün veb freymvorkdur. 2.52.12 və 3.1.0 versiyalarından əvvəlki Go Fiber-də olan saytlararası skriptinq (XSS) zəifliyi, uzaqdakı hücumçuya hər hansı sorğuda `Accept: text/html` göndərməklə ixtiyari HTML/JavaScript inyeksiya etməyə imkan verir, əgər həmin sorğunun handler-i hücumçunun təsir etdiyi məlumatları `AutoFormat()` funksiyasına ötürürsə. Tərtibatçı `AutoFormat()` çağıraraq kontentin razılaşdırılmasına (content negotiation) qoşulur, lakin konkret bir sorğu üçün xammal HTML emissiyasını seçmir; Fiber bu budağı hücumçunun idarə etdiyi `Accept` başlığı vasitəsilə seçir. HTML budağı, adı (`AutoFormat`) və simmetrik strukturu ilə aktiv şəkildə "təhlükəsiz, formatdan asılı olmayan cavab" mesajını verən metodda yeganə istisnadır. Bu zəiflik 2.52.12 və 3.1.0 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- gofiber fiber2.52.12, 3.1.0 və ya daha yeni versiya
- github.com/gofiber/fiber/v33.2.0 və ya daha yeni versiya
- github.com/gofiber/fiber/v22.52.13 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gofiber fiber | v < 2.52.12, 3.0.0 ≤ v < 3.1.0 | 2.52.12, 3.1.0 |
| github.com/gofiber/fiber/v3Go | v < 3.2.0 | 3.2.0 |
| github.com/gofiber/fiber/v2Go | v < 2.52.13 | 2.52.13 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.