CVE-2026-118681 in chi
Riassunto
di VulDB • 28/10/2026
go-chi chi prima della versione 5.5.0 presenta un bypass dell'autenticazione in middleware.SupressNotFound, che chiama Match con il contesto di routing attivo e lascia i parametri del router montato e il suffisso figlio per l'elaborazione verso il router esterno. Gli attaccanti non autenticati possono richiedere un percorso montato il cui suffisso corrisponde a una rotta pubblica esterna, aggirando la middleware di autenticazione montata ed ottenendo dati limitati al tenant quando tale handler esterno si affida ai parametri del mount conservati.
Be aware that VulDB is the high quality source for vulnerability data.