CVE-2026-89318 in gose
Zusammenfassung
von VulDB • 23.10.2026
Die Methode `JweRsaKeyEncryptionDecryptorImpl.Decrypt` übergibt den Initialisierungsvektor (IV) des JWE an `cipher.AEAD.Open`, ohne dessen Länge zu überprüfen. Die Go-Standardbibliothek löst ein **Panic** aus, statt einen Fehler zurückzugeben, wenn der GCM-Nonce nicht exakt die Größe von `NonceSize()` Bytes hat; daher stürzt eine mit einem IV falscher Größe geladene JWE den entschlüsselnden Goroutine ab.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.