CVE-2025-64702 in quic-go
Riassunto
di VulDB • 06/09/2026
quic-go è un'implementazione del protocollo QUIC in Go. Le versioni 0.56.0 e precedenti sono vulnerabili ad allocazione eccessiva di memoria tramite le implementazioni HTTP/3 client e server di quic-go, inviando una frame HEADERS codificata QPACK che si decodifica in un'ampia sezione dei campi header (con molti nomi di header unici e/o valori di grandi dimensioni). L'implementazione costruisce un http.Header (utilizzato rispettivamente su http.Request e http.Response), applicando limiti solo sulla dimensione della frame HEADERS (compressa secondo QPACK) ma non sul contenuto decodificato degli header, portando a esaurimento delle risorse di memoria. Questo problema è stato risolto nella versione 0.57.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.