CVE-2026-30246
Publiée le 2026-05-05 · Dernière modification le 2026-10-26
Les applications web utilisant le framework Go Fiber (versions jusqu'à 3.1.0) avec le middleware de cache par défaut sont concernées. Un attaquant peut forcer le serveur à envoyer une page mise en cache erronée à un utilisateur en demandant le même chemin d'URL avec des paramètres de requête différents, ce qui pourrait exposer des données destinées à quelqu'un d'autre. Cette opération peut être effectuée à distance via le réseau, sans aucune authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Fiber is a web framework for Go. In github.com/gofiber/fiber/v3 versions through 3.1.0, the default key generator in the cache middleware uses only the request path and does not include the query string. As a result, requests for the same path with different query parameters can share a cache key and receive the wrong cached response. This can cause response mix-up for query-dependent endpoints and may expose data intended for a different request. This issue is fixed after version 3.1.0.