There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Fiber is an Express inspired web framework written in Go. From 2.52.1 until 2.52.3, the CORS middleware's
    validateDomain wildcard matcher in middleware/cors/utils.go strips the scheme and checks only a host
    suffix without requiring a dot boundary. An application configured with a wildcard-subdomain AllowOrigins
    value and AllowCredentials enabled can reflect an unrelated attacker-controlled origin whose host merely
    ends with the configured base domain. A user who visits that origin can expose authenticated cross-origin
    responses to the attacker's page; empty-label origins and later comma-space parsing hardening are outside
    this advisory. This issue is fixed in version 2.52.3. (CVE-2026-119285)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Fiber 是一个受 Express 启发的 Go 编写的 Web 框架。From 2.52.1 until 2.52.3， middleware/cors/utils.go 中 CORS 中间件的 validateDomain 通配符匹配程序剥离了方案，并且仅检查主机后缀，而无需点边界。以通配符子域 AllowOrigins 值和 AllowCredentials 作为配置的应用程序，可以反映一个不相关的受攻击者控制的源，其主机仅以已配置的基础域结尾。访问该源的用户可将经身份验证的跨源响应暴露给攻击者的页面;空标签来源和之后的逗号空格解析强化不在此公告范围内。此问题已在 2.52.3 版本中修复。(CVE-2026-119285)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Fiber 是一個受 Express 啟發的 Web 框架，用 Go 編寫。From 2.52.1 until 2.52.3，middleware/cors/utils.go 中的 CORS 中介軟體的 validateDomain 萬用字元比對器會剝離配置並僅檢查主機尾碼，而不需要點邊界。設定了萬用字元子網域 AllowOrigins 值並啟用 AllowCredentials 的應用程式可能會反映不相關的攻擊者控制來源，其主機僅以已設定的基底網域結尾。造訪該來源的使用者可能會將經過驗證的跨來源回應暴露給攻擊者的頁面;空白標籤來源和後面的逗號空格剖析強化不在此公告之外。2.52.3 版已修正此問題。(CVE-2026-119285)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Fiber は、Go で書かれた Express にインスパイアされた Web フレームワークです。2.52.1から2.52.3まで、CORSミドルウェアのmiddleware/cors/utils.goにあるvalidateDomainワイルドカードマッチャーはスキームを除外し、ドット境界を必要とせずにホストサフィックスのみをチェックします。ワイルドカードサブドメインの AllowOrigins 値と AllowCredentials を有効にして構成されたアプリケーションは、ホストが構成されたベースドメインで終わる、関連のない攻撃者の制御下にあるオリジンを反映する可能性があります。その送信元にアクセスしたユーザーは、認証されたクロスオリジン応答を攻撃者のページに露出する可能性があります。空のラベルのオリジンとその後のコンマスペースの解析の強化は、このアドバイザリの範囲外にあります。この問題はバージョン 2.52.3 で修正されています。(CVE-2026-119285)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Fiber is an Express inspired web framework written in Go. From 2.52.1 until 2.52.3, the CORS middleware's     validateDomain wildcard matcher in middleware/cors/utils.go strips the scheme and checks only a host     suffix without requiring a dot boundary. An application configured with a wildcard-subdomain AllowOrigins     value and AllowCredentials enabled can reflect an unrelated attacker-controlled origin whose host merely     ends with the configured base domain. A user who visits that origin can expose authenticated cross-origin     responses to the attacker's page; empty-label origins and later comma-space parsing hardening are outside     this advisory. This issue is fixed in version 2.52.3. (CVE-2026-119285)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
478104	SCA: security update for github.com/gofiber/fiber/v2 (GHSA-g5jq-qmqr-qrwf)	Tenable Self-Hosted Container Security	SCA Checks	2026/10/31	2026/10/31	medium
478104	SCA: security update for github.com/gofiber/fiber/v2 (GHSA-g5jq-qmqr-qrwf)	Tenable Cloud Security	SCA Checks	2026/10/31	2026/10/31	medium
374478	Linux Distros 未修补的漏洞：CVE-2026-119285	Nessus	Misc.	2026/10/31	2026/11/2	medium
374478	Linux Distros 未修補弱點：CVE-2026-119285	Nessus	Misc.	2026/10/31	2026/11/2	medium
374478	Linux Distros のパッチ未適用の脆弱性: CVE-2026-119285	Nessus	Misc.	2026/10/31	2026/11/2	medium
374478	Linux Distros Unpatched Vulnerability : CVE-2026-119285	Nessus	Misc.	2026/10/31	2026/11/2	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium