Go net/http/httputil ReverseProxy Bypasses urlmaxqueryparams Limit (CVE-2026-39823)

脆弱性概要 脆弱性名称: 脆弱性番号: #78948 脆弱性タイプ: セキュリティ脆弱性 脆弱性ステータス: 修正済み 影響範囲 影響を受けるコンポーネント: パッケージ内の 具体的な影響: 関数または 関数を使用してクエリパラメータを解析する際、 は の制限を超えたクエリパラメータを転送するため、潜在的なセキュリティ問題を引き起こす可能性があります。 修正方案 修正措置: は、 の制限を超えたパラメータの転送を回避するようになりました。 修正バージョン: Go の後続バージョンで修正済み。 関連リンク: - CVE-2026-39823 - Go 公式 Issue: https://go.dev/dev/issue/78948 POC コード その他情報 タグ: , , 参加者: neild, gopherbot, Jah-yee, prattmic, U pull, stefanb タイムライン: - 2023-02-02: neild が Issue を提出 - 2023-02-02: gopherbot がタグを追加 - 2023-02-02: Jah-yee が関連 Issue に言及 - 2023-02-02: prattmic が タグを追加 - 2023-02-02: gopherbot が Issue をクローズ - 2023-02-02: U pull がこの Issue を参照するコミットを追加 - 2023-02-02: gopherbot がバックポート用 Issue を作成 - 2023-02-02: gopherbot が関連 Issue に言及 - 2023-02-02: gopherbot がこの Issue を参照するコミットを追加 - 2023-02-02: stefanb が関連 Pull Request に言及 まとめ この脆弱性は パッケージ内の コンポーネントに関連しており、 または 関数を使用してクエリパラメータを解析する際、 の制限を超えたパラメータを転送することで潜在的なセキュリティ問題を引き起こします。修正措置としては、 の制限を超えたパラメータの転送を回避し、Go の後続バージョンで修正が施されました。

目標達成 すべての支援者に感謝 — 100%達成しました！

Go net/http/httputil ReverseProxy Bypasses urlmaxqueryparams Limit (CVE-2026-39823)

目標達成すべての支援者に感謝 — 100%達成しました！