CVE-2026-116586

Mở trang đầy đủ

CVSS 6.9 MEDIUM

Go JOSE: Panics in JSON parsing

Mã khác
GHSA-vvm8-gf78-28g4
Công bố
Cập nhật
Lần đầu thấy
Nguồn
GitHub Advisory, NVD, CVE.org, OSV.dev

Mô tả

Summary

Parsing deeply nested JSON structures can hit Go's stack limit, causing the application to crash.

Note: this advisory is the same as https://github.com/go-jose/go-jose/security/advisories/GHSA-6mp9-8xrw-74r4.

Impact

Denial of service vulnerability. Any application that parses untrusted JSON via go-jose is exposed.

Workarounds

Reject large inputs before parsing them.

Acknowledgements

Thanks to Dohyun Kim (@azza999), Joshua Rogers of AISLE Research, and Sueun Cho for alerting us to the need to patch this.

Điểm và phân loại

CVSS
6.9 MEDIUM v4.0
Nguồn điểm
NVD
Mức độ (theo nguồn)
MEDIUM
EPSS
0.29%
CWE
CWE-674

Vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Ảnh hưởng

Package Bản bị ảnh hưởng Bản đã sửa
go github.com/go-jose/go-jose/v4 < 4.1.5 4.1.5
go github.com/go-jose/go-jose/v3 <= 3.0.5 Chưa có bản sửa

Sản phẩm

  • go-jose go-jose

Vì sao bị lọc

  • CVSS 6.9 < 8.0 và không thuộc CISA KEV

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
GitHub_M
CVE.org · SSVC
Tự động hoá được: yes · Khai thác: none · Tác động kỹ thuật: partial
OSV.dev · ID
GHSA-vvm8-gf78-28g4

Tham khảo