CVE-2025-66565
Publiée le 2025-12-09 · Dernière modification le 2026-10-07
Les applications utilisant Fiber Utils version 2.0.0-rc.3 ou antérieure sont concernées si le générateur de nombres aléatoires de leur système échoue. Dans ces cas, le logiciel génère discrètement des identifiants prévisibles (y compris des suites de zéros), ce qui permettrait à un attaquant distant et non authentifié de potentiellement détourner des sessions ou de contourner des contrôles de sécurité reposant sur ces identifiants uniques. Cette faille est facile à exploiter via un réseau une fois l'état de panne survenu, car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Fiber Utils is a collection of common functions created for Fiber. In versions 2.0.0-rc.3 and below, when the system's cryptographic random number generator (crypto/rand) fails, both functions silently fall back to returning predictable UUID values, including the zero UUID "00000000-0000-0000-0000-000000000000". The vulnerability occurs through two related but distinct failure paths, both ultimately caused by crypto/rand.Read() failures, compromising the security of all Fiber applications using these functions for security-critical operations. This issue is fixed in version 2.0.0-rc.4.