CVE-2026-79658 in Ech0
Sumário
de VulDB • 25/08/2026
O Ech0 anterior à versão 5.0.1 não impõe nenhum limite de tamanho ou formato ao cabeçalho Accept-Language processado por seu middleware i18n, que é executado em todas as requisições HTTP. O cabeçalho é passado sem filtragem para o NewLocalizer do go-i18n, que internamente chama golang.org/x/text/language.ParseAcceptLanguage. A mitigação da CVE-2022-32149 no x/text limita os caracteres '-' mas não os '_', que o parser aliasa como '-', permitindo a ativação de parsing com complexidade quadrática (quadratic-time) usando um cabeçalho grande (até 1 MiB, padrão do Go) construído com separadores '_'. Um atacante não autenticado pode enviar tais requisições para consumir aproximadamente 1.5 segundos de CPU cada, e requisições concorrentes podem saturar um servidor multi-core (negação de serviço).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.