CVE-2026-79658 in Ech0
Tóm tắt
Bởi VulDB • 25/08/2026
Ech0 trước phiên bản 5.0.1 không áp đặt bất kỳ giới hạn nào về kích thước hoặc hình dạng đối với tiêu đề Accept-Language do middleware i18n của nó xử lý, middleware này chạy trên mọi yêu cầu HTTP. Tiêu đề được chuyển tiếp mà không qua kiểm lọc đến hàm NewLocalizer của go-i18n, hàm này gọi nội bộ golang.org/x/text/language.ParseAcceptLanguage. Bản vá CVE-2022-32149 trong x/text chỉ giới hạn các ký tự '-' chứ không phải các ký tự '_', và trình phân tích cú pháp (parser) ánh xạ '_' thành '-', cho phép kích hoạt việc phân tích cú pháp với độ phức tạp thời gian bậc hai (quadratic-time parsing) bằng cách sử dụng một tiêu đề lớn (lên đến 1 MiB mặc định của Go) được xây dựng từ các dấu tách là ký tự '_'. Một kẻ tấn công chưa xác thực có thể gửi các yêu cầu như vậy để tiêu thụ khoảng 1,5 giây CPU cho mỗi yêu cầu, và các yêu cầu đồng thời có thể làm quá tải một máy chủ đa lõi (gây ra tình trạng từ chối dịch vụ - denial of service).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.