CVE-2026-79658 in Ech0
Сводка
по VulDB • 25.08.2026
Ech0 до версии 5.0.1 не устанавливает никаких ограничений по размеру или форме для заголовка Accept-Language, обрабатываемого его middleware i18n, который запускается при каждом HTTP-запросе. Заголовок передается без фильтрации в NewLocalizer библиотеки go-i18n, которая внутренне вызывает golang.org/x/text/language.ParseAcceptLanguage. Митигация CVE-2022-32149 в x/text ограничивает символы '-', но не '_', которые парсер считает алиасами для '-'. Это позволяет вызвать квадратичное время обработки при использовании большого заголовка (до 1 MiB по умолчанию Go), построенного с использованием разделителей '_'. Неавторизованный злоумышленник может отправлять такие запросы, потребляя примерно 1.5 секунды процессорного времени на каждый из них; одновременные запросы могут насытить многопроцессорный сервер (отказ в обслуживании).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.