Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

CVE-2026-78662 (High) detected in golang.org/x/crypto-v0.49.0

Chiusa Adatta ai principianti
  • Qualcosa non va?
#389 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
84/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
go
Ambito
security

Direzione di ricerca

Inizia da engine/go.mod e ispeziona la dipendenza golang.org/x/crypto attualmente risolta alla versione v0.49.0. Aggiornala alla versione corretta indicata, v0.56.0, quindi esegui i controlli Go del progetto. Il lavoro è completato quando la dipendenza viene risolta alla versione corretta e i controlli hanno esito positivo.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Mend: dependency security vulnerability

CVE-2026-78662 - High Severity Vulnerability

Vulnerable Library - golang.org/x/crypto-v0.49.0

Library home page: https://proxy.golang.org/golang.org/x/crypto/@⁠v/v0.49.0.zip

Sample Path to Dependency File: /engine/go.mod

Path to vulnerable library: /home/wss-scanner/go/pkg/mod/cache/download/golang.org/x/crypto/@⁠v/v0.49.0.mod

Dependency Hierarchy:

  • ❌ golang.org/x/crypto-v0.49.0 (Vulnerable Library)

Found in base branch: master

Vulnerability Details

Previously, a channel registered in the mux's chanList is not usable until it is established. A malicious peer was able flood the channel's incomingRequests, deadlocking the entire connection. Now, we add an atomic established state, set when a channel becomes usable. Until such a time, handlePacket drops every packet other than the open confirmation/failure, without blocking and without tearing down the connection.

Publish Date: 2026-09-02

URL: CVE-2026-78662

CVSS 3 Score Details (7.5)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Network
    • Attack Complexity: Low
    • Privileges Required: None
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: High
    • Integrity Impact: None
    • Availability Impact: None

For more information on CVSS3 Scores, click here.

Suggested Fix

Type: Upgrade version

Origin: https://pkg.go.dev/vuln/GO-2026-6354

Release Date: 2026-09-02

Fix Resolution: golang.org/x/crypto - v0.56.0,https://github.com/golang/crypto.git - v0.56.0

Step up your Open Source Security Game with Mend here

Lingua principale
Go
Stelle
2.8k
Fork
89
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di postgres-ai/database-lab-engine

Tutte le issue di postgres-ai/database-lab-engine

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.