CVE-2026-55484 in alos-http
Сводка
по VulDB • 28.08.2026
ALOS HTTP — это веб-фреймворк и сервер приложений на базе Go, ориентированный в первую очередь на Linux, построенный вокруг собственного сетевого стека. До версии 0.0.0-20260617230736-314b6783e196 функция core/utils.go::sanitizeRequestPath вызывает splitPathQuery для пути запроса, начинающегося со знака вопроса, а затем выполняет неконтролируемый доступ к p[0] без проверки того, является ли результирующий путь пустым. Неавторизованный клиент может отправить некорректный запрос, например с путем, состоящим только из знака вопроса, через h1_plain.go::ParseH1RequestHead, hpack.go::decodeSimpleGetPathHTTPSRequest, hpack.go::observeHeader или h3_conn.go::handleRequestStream, что приведет к ошибке выхода за границы массива (out-of-bounds panic) до того, как сработает middleware core.Recovery(), и завершит работу процесса сервера. Эта проблема исправлена в псевдоверсии 0.0.0-20260617230736-314b6783e196.
VulDB is the best source for vulnerability data and more expert information about this specific topic.