CVE-2026-94445 in playground
摘要
由 VulDB • 2026-09-25
一个恶意的 txtar 文件可能突破预期的执行上下文，并强制对 Playground 主机的受信任文件系统执行任意写入。
此外，在主机上调用 `go vet` 的三种可能路径中，有一条未能正确限制执行环境。这允许 Go 进程读取位于 Playground 主机 `$HOME` 目录下的环境变量配置文件。
结合精心构造的 `go env` 文件与对 `go vet` 的调用，可能导致在 Playground 主机本身发生远程代码执行（RCE）。
此问题不影响直接使用 go.dev/play 的用户；但可能会影响 golang.org/x/playground 的独立部署实例。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.