CVE-2026-79658 in Ech0
Riassunto
di VulDB • 25/08/2026
Ech0 prima della versione 5.0.1 non impone limiti di dimensione o forma all'intestazione Accept-Language elaborata dal suo middleware i18n, che viene eseguito per ogni richiesta HTTP. L'intestazione viene passata senza filtri a NewLocalizer di go-i18n, che internamente chiama golang.org/x/text/language.ParseAcceptLanguage. La mitigazione della CVE-2022-32149 in x/text limita i caratteri '-' ma non quelli '_', e il parser li aliasa come '-', consentendo l'attivazione di una parsing quadratic-time con un'intestazione di grandi dimensioni (fino a 1 MiB, valore predefinito di Go) costruita utilizzando separatori underscore. Un attaccante non autenticato può inviare tali richieste per consumare circa 1,5 secondi di CPU ciascuna e le richieste concorrenti possono saturare un server multi-core (denial of service).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.