CVE-2026-94445— golang.org/x/playground 远程代码执行漏洞
一分钟漏洞结论
影响对象
golang.org/x/playground golang.org/x/playground
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
恶意的 txtar 文件可能突破预期的执行上下文限制，强制向沙盒主机（playground host）的可信文件系统执行任意写入操作。 此外，三种可能触发 命令的执行路径中，有一项未正确限制执行环境。这使得 Go 进程能够读取位于沙盒主机 目录下的环境配置文件。 结合精心构造的 配置文件与 命令的调用，可能导致在沙盒主机上发生远程代码执行（RCE）。 此漏洞不影响直接使用 go.dev/play 的用户；但可能会影响独立部署的 实例。
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| golang.org/x/playground | golang.org/x/playground | < 0.0.0-20260924211604-6d73cff14c17 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-94445 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Malicious user input may lead to RCE in golang.org/x/playground
来源: CVE Program / CVE List V5
Vulnerability Description
A malicious txtar could escape the intended execution context and force arbitrary writes to the playground host's trusted filesystem.
Disjointly, one of the three possible paths to invoke go vet on the playground host did not correctly restrict the execution environment. This permitted a Go process to make a read for an environment configuration file rooted in the playground host's $HOME.
Together, a well-crafted go env file and the go vet invocation could lead to remote code execution in the playground host itself.
This does not affect users of go.dev/play directly; however, it may affect independent deployments of golang.org/x/playground.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
输入验证不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| golang.org/x/playground | golang.org/x/playground | 0 ~ 0.0.0-20260924211604-6d73cff14c17 | - |
|
二、漏洞 CVE-2026-94445 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-94445 的情报信息
请登录查看更多情报信息。
CVE-2026-94445 厂商安全公告 (1)
CVE-2026-94445 其他参考 (1)
IV. Related Vulnerabilities
V. Comments for CVE-2026-94445
暂无评论