CVE-2026-25680: Invoking denial of service when parsing arbitrary HTML in golang.org/x/net/html

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• golang netдо 0.55.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Go). Не зависят от анализа CPE в NVD и обычно опережают его.

• golang.org/x/net golang.org/x/net/html

  • до 0.55.0затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-39821Invoking failure to reject ASCII-only Punycode-encoded labels in golang.org/x/net/idna
  39Наблюдать
• CVE-2018-17848The html package (aka x/net/html) through 2018-09-25 in Go mishandles <math><template><mn><b></template>, leading to a "panic: runtime error
  31Наблюдать
• CVE-2018-17847The html package (aka x/net/html) through 2018-09-25 in Go mishandles <svg><template><desc><t><svg></template>, leading to a "panic: runtime
  31Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2018-1714317 сент. 2018 г. · The html package (aka x/net/html) through 2018-09-17 in Go mishandles <template><tBody><isindex/action=0>, leading to a "panic: runtime erro
  31Наблюдать
• ← РаньшеCVE-2018-178461 окт. 2018 г. · The html package (aka x/net/html) through 2018-09-25 in Go mishandles <table><math><select><mi><select></table>, leading to an infinite loop
  31Наблюдать
• Позже →CVE-2026-2568122 мая 2026 г. · Invoking incorrect handling of character references in DOCTYPE nodes in golang.org/x/net/html
  24Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("слишком глубоко");4  return node.children.map((c) => expand(c, depth + 1));5}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.