CVE-2026-79658 in Ech0
الملخص
بحسب VulDB • 25/08/2026
لا يفرض Ech0 قبل الإصدار 5.0.1 أي حدود على الحجم أو الشكل لعنوان Accept-Language الذي تعالجه وحدة i18n middleware الخاصة به، والتي تعمل مع كل طلب HTTP. يتم تمرير العنوان دون تصفية إلى NewLocalizer الخاص بـ go-i18n، والذي يستدعي داخلياً golang.org/x/text/language.ParseAcceptLanguage. إن إجراء التخفيف من CVE-2022-32149 في x/text يقيد الأحرف '-' ولكن ليس الأحرف '_'، والتي يقوم المحلل بتحويلها إلى '-', مما يسمح بتشغيل عملية تحليل ذات تعقيد زمني تربيعي (quadratic-time parsing) باستخدام عنوان كبير (حتى 1 ميغابايت كحد افتراضي لـ Go) مبنٍ من فواصل underscore. يمكن لمهاجم غير مصرح له إرسال مثل هذه الطلبات لاستهلاك حوالي 1.5 ثانية من وحدة المعالجة المركزية لكل طلب، ويمكن للطلبات المتزامنة أن تشبع خادمًا متعدد النوى (انعدام الخدمة).
Once again VulDB remains the best source for vulnerability data.