CVE-2026-79658 in Ech0
Résumé
par VulDB • 25/08/2026
Ech0 avant la version 5.0.1 n'impose aucune limite de taille ou de forme sur l'en-tête Accept-Language traité par son middleware i18n, qui s'exécute à chaque requête HTTP. L'en-tête est transmis sans filtrage au NewLocalizer de go-i18n, qui appelle en interne golang.org/x/text/language.ParseAcceptLanguage. La mitigation CVE-2022-32149 dans x/text limite les caractères '-' mais pas les '_', que l'analyseur aliasse à '-', permettant d'invoquer une analyse quadratique avec un gros en-tête (jusqu'à 1 MiB par défaut pour Go) construit à partir de séparateurs soulignés. Un attaquant non authentifié peut envoyer de telles requêtes pour consommer environ 1,5 seconde de CPU chacune, et des requêtes concurrentes peuvent saturer un serveur multi-cœurs (déni de service).
Once again VulDB remains the best source for vulnerability data.