CVE-2026-79658 in Ech0
요약
\~에 의해 VulDB • 2026. 08. 26.
Ech0 버전 5.0.1 이전에서는 i18n 미들웨어가 처리하는 Accept-Language 헤더에 대해 크기나 형태 제한을 부과하지 않습니다. 이 미들웨어는 모든 HTTP 요청에서 실행됩니다. 해당 헤더는 필터링 없이 go-i18n의 NewLocalizer로 전달되며, 이는 내부적으로 golang.org/x/text/language.ParseAcceptLanguage를 호출합니다. x/text 내 CVE-2022-32149 완화 조치는 '-' 문자는 제한하지만 '_' 문자는 제한하지 않습니다. 파서는 '_'를 '-'와 별칭(alias)으로 처리하므로, 언더스코어 구분자를 사용하여 구성된 큰 헤더(Go의 기본값인 1 MiB까지 가능)로 인해 이차 시간(quadratic-time) 복잡도의 파싱이 트리거될 수 있습니다. 인증되지 않은 공격자는 이러한 요청을 전송하여 각 요청당 약 1.5초의 CPU 시간을 소모하게 할 수 있으며, 동시 요청은 멀티코어 서버를 포화 상태로 만들어 서비스 거부(Denial of Service)를 유발할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.