JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024076 FiberはGoで書かれたExpressに着想を得たウェブフレームワークです。バージョン3.3.0以前では、middleware/basicauth/config.go内のBasicAuthミドルウェアのデフォルトのAuthorizer関数がショートサーキット評価を使用しており、存在しないユーザー名の場合にパスワードハッシュの比較をスキップしていました。これにより、応答時間の差異を通じて信頼性の高いリモートユーザー名列挙が可能になっていました。この問題はバージョン3.3.0で修正されました。 cpe:/a:gofiber:fiber https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024076.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44332 https://www.cve.org/CVERecord?id=CVE-2026-44332 National Vulnerability Database (NVD) CVE-2026-44332 https://nvd.nist.gov/vuln/detail/CVE-2026-44332 GitHub Username Enumeration via Timing Oracle in BasicAuth Default Authorizer Advisory gofiber/fiber GitHub https://github.com/gofiber/fiber/security/advisories/GHSA-g5vh-55hw-rxm8 JVNDB CWE-203 https://cwe.mitre.org/data/definitions/203.html 関連文書 bug: BasicAuth verifier for unknown users by gaby Pull Request #4245 gofiber/fiber GitHub https://github.com/gofiber/fiber/pull/4245 関連文書 Release v3.3.0 gofiber/fiber GitHub https://github.com/gofiber/fiber/releases/tag/v3.3.0 関連文書 Merge pull request #4245 from gofiber/update-default-authorizer-for-p… gofiber/fiber@c7ac00e GitHub https://github.com/gofiber/fiber/commit/c7ac00edd19f9669b1aebbec6e229658baaa059e 2026-07-17T11:18:17+09:00 2026-07-17T11:18:17+09:00