p PatchFirst

CVE-2026-45045

CVE-2026-45045 · Fiber: X-Real-IP Spoofing via Header.Add() in BalancerForward

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Fiber is an Express inspired web framework written in Go. Prior to 3.3.0 and 2.52.14, the BalancerForward proxy helper in middleware/proxy/proxy.go uses Header.Add() instead of Header.Set() when injecting X-Real-IP, allowing an attacker-supplied first X-Real-IP value to be forwarded to upstream servers for logging, rate limiting, and access control. This issue is fixed in version 3.3.0 and 2.52.14.

CVSS 5.3 · Средний · EPSS 0,5%

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • fiber

    Версии
    • >= 3.0.0-beta.2, < 3.3.0: Затронуто
    • < 2.52.14: Затронуто

    Нет опубликованного исправления

  • golang-github-gofiber-fiber Ubuntu:26.10

    Версии
    • 3.3.0-1
    • 3.4.0-1
    • 3.5.0-1
    • 3.5.0-4
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-github-gofiber-fiber-v2 Ubuntu:26.10

    Версии
    • 2.52.13-2
    • 2.52.13-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →