Lack of limit when parsing cookies can cause memory exhaustion in net/http

Üreticinin bildirdiği sürümler

Kaydı açan otorite (Go) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Go standard library net/http

  • 1.24.8 öncesietkilenir · semver
  • 1.25.0 ve sonrası · 1.25.2 öncesietkilenir · semver

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2023-45288HTTP/2 CONTINUATION flood in net/http
  58Planlayın
• CVE-2026-56853Apply ReadHeaderTimeout when doing unencrypted HTTP/2 check in net/http
  30İzleyin
• CVE-2024-24791Denial of service due to improper 100-continue handling in net/http
  30İzleyin
• CVE-2025-4673Sensitive headers not cleared on cross-origin redirect in net/http
  27İzleyin
• CVE-2024-45336Sensitive headers incorrectly sent after cross-domain redirect in net/http
  24İzleyin
• CVE-2025-47910CrossOriginProtection insecure bypass patterns not limited to exact matches in net/http
  21İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

İç içe yapıları çözümleyen kod derinlik ya da boyut sınırı koymuyor. Küçük bir girdi orantısız işlem yüküne dönüşebilir.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("çok derin");4  return node.children.map((c) => expand(c, depth + 1));5}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.