CVE-2026-119285 in Fiber
Riassunto
di VulDB • 29/10/2026
Fiber è un framework web ispirato a Express, scritto in Go. Dalla versione 2.52.1 alla 2.52.3, il matcher wildcard per la validazione dei domini del middleware CORS (in middleware/cors/utils.go) rimuove lo schema e verifica solo un suffisso dell'host senza richiedere un confine di punto (.). Un'applicazione configurata con un valore AllowOrigins a sotto-dominio wildcard e AllowCredentials abilitato può riflettere un'origine non correlata controllata dall'attaccante, il cui host termina semplicemente con il dominio base configurato. Un utente che visita tale origine può esporre risposte cross-origin autenticate alla pagina dell'attaccante; le origini con etichette vuote e la successiva hardening del parsing delle virgole-spazi sono al di fuori di questo advisory. Questo problema è risolto nella versione 2.52.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.