JVNDB-2026-024075

GofiberのFiberにおけるスプーフィングによる認証回避に関する脆弱性

FiberはGoで書かれたExpressに触発されたウェブフレームワークです。バージョン3.3.0および2.52.14より前のバージョンでは、middleware/proxy/proxy.go内のBalancerForwardプロキシヘルパーがX-Real-IPを注入する際にHeader.Set()の代わりにHeader.Add()を使用していました。そのため、攻撃者が提供した最初のX-Real-IPの値がアップストリームサーバーに転送され、ログ記録やレート制限、アクセス制御に影響を与える可能性がありました。この問題はバージョン3.3.0および2.52.14で修正されています。

Gofiber

• Fiber 2.52.14 未満
• Fiber 3.0.0 以上 3.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : X-Real-IP Spoofing via Header.Add() in BalancerForward  Advisory  gofiber/fiber  GitHub

1. スプーフィングによる認証回避(CWE-290) [その他]

1. CVE-2026-45045

1. National Vulnerability Database (NVD) : CVE-2026-45045
2. 関連文書 : Merge pull request #4495 from terraincognita07/backport-v2-balancer-f…  gofiber/fiber@33c9501  GitHub
3. 関連文書 : Release v2.52.14  gofiber/fiber  GitHub
4. 関連文書 : fix(proxy): Ensure BalancerForward overwrites X-Real-IP header by gaby  Pull Request #4260  gofiber/fiber  GitHub
5. 関連文書 : fix(proxy): backport BalancerForward X-Real-IP overwrite fix to v2 by terraincognita07  Pull Request #4495  gofiber/fiber  GitHub
6. 関連文書 : Merge pull request #4260 from gofiber/fix-x-real-ip-header-handling-i…  gofiber/fiber@1403cc8  GitHub
7. 関連文書 : Release v3.3.0  gofiber/fiber  GitHub

• [2026年07月17日]
    掲載