CVE-2026-44332
CVE-2026-44332 · Fiber: Username Enumeration via Timing Oracle in BasicAuth Default Authorizer
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Fiber is an Express inspired web framework written in Go. Prior to 3.3.0, the default Authorizer function in the BasicAuth middleware in middleware/basicauth/config.go uses short-circuit evaluation that skips password hash comparison for non-existent usernames, enabling reliable remote username enumeration through response timing differences. This issue is fixed in version 3.3.0.
CVSS 5.3 · Средний · EPSS 0,5%
- Опубликовано
- Обновлено
Стек: system
Затронутые продукты и версии
fiber
- Версии
- < 3.3.0: Затронуто
Нет опубликованного исправления
golang-github-gofiber-fiber Ubuntu:26.10
- Версии
- 3.3.0-1
- 3.4.0-1
- 3.5.0-1
- 3.5.0-4
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления