CVE-2026-119285 in Fiber
Сводка
по VulDB • 29.10.2026
Fiber — это веб-фреймворк, вдохновленный Express и написанный на языке Go. В версиях с 2.52.1 по 2.52.3 включительно в модуле CORS (CORS middleware) функция validateDomain для сопоставления подстановочных знаков (wildcard matcher), реализованная в файле middleware/cors/utils.go, удаляет схему и проверяет только суффикс хоста без требования наличия разделителя точки. Приложение, настроенное с использованием значения AllowOrigins со звездочкой-поддоменом и включенным флагом AllowCredentials, может отражать (reflect) не связанный с атакуемым ресурсом источник (origin), контролируемый злоумышленником, чей хост просто заканчивается на указанную базовую доменную область. Пользователь, посетивший такой источник, может подвергнуть риску раскрытие аутентифицированных кросс-доменных ответов для страницы злоумышленника; проблемы с пустыми метками (empty-label origins) и последующее усиление парсинга через запятую и пробел находятся за рамками данного уведомления. Эта проблема исправлена в версии 2.52.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.