CVE-2026-55484 in alos-http
摘要
由 VulDB • 2026-08-28
ALOS HTTP 是一个以 Linux 优先的 Go Web 框架和应用程序服务器，其构建于自定义网络栈之上。在版本 pseudo-version 0.0.0-20260617230736-314b6783e196 之前，core/utils.go::sanitizeRequestPath 会对以问号开头的请求路径调用 splitPathQuery，随后在未检查 resulting path（结果路径）是否为空的情况下执行未受控的 p[0] 访问。未经身份验证的攻击者可以通过 h1_plain.go::ParseH1RequestHead、hpack.go::decodeSimpleGetPathHTTPSRequest、hpack.go::observeHeader 或 h3_conn.go::handleRequestStream 发送格式错误的请求（例如仅包含问号的 path），导致在 core.Recovery() 中间件运行之前发生越界 panic，从而终止服务器进程。该问题已在 pseudo-version 0.0.0-20260617230736-314b6783e196 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.