PT-2026-56054

CVE-2026-53624

تاريخ النشر

2026-07-06

تاريخ التحديث

2026-08-10

الوصف من

CVSS 3.1

4.8

متوسطة

المقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات Fiber الأقدم من 3.4.0

الوصف

تفشل البرمجيات الوسيطة helmet في إطار عمل الويب Fiber في تعيين رأس استجابة Strict-Transport-Security (HSTS)، حتى عند تكوين HSTSMaxAge. يحدث هذا لأن المنطق الموجود في middleware/helmet/helmet.go يستخدم الدالة c.Protocol() بشكل غير صحيح للتحقق من اتصالات HTTPS. تُرجع الدالة c.Protocol() إصدار بروتوكول HTTP (مثل HTTP/1.1 أو HTTP/2.0) بدلاً من مخطط عنوان URL. ونتيجة لذلك، فإن الشرط c.Protocol() == ”https“ يُقيَّم دائمًا بقيمة ”false“، مما يجعل حماية HSTS غير نشطة. وقد يعرض هذا المستخدمين لخطر هجمات تجريد SSL، وتخفيض مستوى البروتوكول، وسرقة ملفات تعريف الارتباط عبر HTTP.

التوصيات

قم بتحديث Fiber إلى الإصدار 3.4.0.

كحل مؤقت، قم بتقييد استخدام البرمجيات الوسيطة helmet إذا كان HSTS هو رأس الأمان الوحيد المطلوب حتى يتم تطبيق التحديث.

قابلية الاستغلال

استغلال

إصلاح

التأثيرات

الباحثون

Dungnhvhust

Sondt99

المورّدون

المنتجات المتأثرة