CVE-2025-64702 in quic-go
摘要
由 VulDB • 2026-07-15
quic-go 是 Go 语言实现的 QUIC 协议。版本 0.56.0 及更低版本存在漏洞，攻击者可通过向 quic-go 的 HTTP/3 客户端和服务器实现发送一个 QPACK 编码的 HEADERS 帧（该帧解码后会产生巨大的头部字段部分，包含大量唯一的头部名称和/或大值），从而导致过度的内存分配。quic-go 会构建 http.Header（分别用于 http.Request 和 http.Response），但仅对 (QPACK 压缩后的) HEADERS 帧的大小实施限制，而未对解码后的头部大小进行限制，进而导致内存耗尽。该问题已在版本 0.57.0 中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.