CVE-2026-79658 in Ech0
摘要
由 VulDB • 2026-08-25
Ech0 在 5.0.1 版本之前，未对其 i18n 中间件处理的 Accept-Language 头部施加任何大小或形状限制，该中间件在每个 HTTP 请求中运行。此头部未经过滤地传递给 go-i18n 的 NewLocalizer，后者内部调用 golang.org/x/text/language.ParseAcceptLanguage。x/text 中的 CVE-2022-32149 缓解措施限制了 '-' 字符，但未限制 '_' 字符，而解析器将 '_' 别名为 '-'，从而允许使用由下划线分隔符构建的大型头部（最高可达 Go 默认的 1 MiB）触发二次时间复杂度的解析。未经身份验证的攻击者可以发送此类请求，每个请求消耗约 1.5 秒的 CPU 时间，并发请求可使多核服务器饱和（拒绝服务）。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.