Vulnerable `x/net` and `MongoDB` Go dependencies
メンテナーはふだん 4 日以内に返信
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 35/100
調査の方向性
Start with the Go dependency declarations and update golang.org/x/net to v0.62.0 or later and go.mongodb.org/mongo-driver/v2 to v2.9.2 or later. Check the resulting dependency versions and run the repository’s relevant Go checks; done when both minimum versions are present. An open linked pull request already addresses this issue.
索引モデルが issue の本文から書いたものです。
説明
Summary
Our security scanner reports vulnerabilities in golang.org/x/net and go.mongodb.org/mongo-driver/v2 in our deployed Outpost Docker image.
The inspected repository checkout includes these indirect dependencies:
golang.org/x/net v0.60.0; scanner recommendsv0.62.0go.mongodb.org/mongo-driver/v2 v2.8.0; scanner recommendsv2.9.0
These findings concern HTML parsing/rendering and BSON value-length validation. Their presence in the dependency list does not by itself establish exploitability in Outpost.
Affected image
- Source versions observed in the inspected checkout:
golang.org/x/net v0.60.0go.mongodb.org/mongo-driver/v2 v2.8.0
Scanner findings
golang.org/x/net
Scanner summary:
golang.org/x/net is affected by 2 unique vulnerabilities. 1 is high and 1 is medium.
In order to fix all of these vulnerabilities, update golang.org/x/net to 0.62.0.
golang.org/x/net v0.62.0 fixes two issues in golang.org/x/net/html:
- CVE-2026-78661 / GO-2026-6860: Crafted HTML containing repeated short text runs can cause quadratic allocations and copying during parsing, potentially causing denial of service. Affects
Parse,ParseFragmentand their options variants. - CVE-2026-97045 / GO-2026-6866: Incorrect handling of ancestor namespace transitions in
Rendercan produce output that is interpreted differently when parsed again, potentially enabling cross-site scripting.
Both affect versions before v0.62.0.
References:
go.mongodb.org/mongo-driver/v2
The scanner reports an integer overflow in BSON value-length handling:
- CVE-2026-107324
- GHSA-xhx9-594p-jcqq
- Affected v2 versions: before
v2.9.0 - Fixed version:
v2.9.0
When processing a malformed BSON value, valueLength() adds fixed overhead to an attacker-controlled length using an int32. The result can overflow to a negative number, pass a bounds check, and cause a slice-bounds panic.
An application that validates or accesses attacker-controlled BSON through an affected path can panic. Without recovery, this can terminate the process and cause denial of service.
References:
Requested fix
- Update
golang.org/x/nettov0.62.0or later. - Update
go.mongodb.org/mongo-driver/v2to at leastv2.9.0for the reported BSON overflow. - Prefer MongoDB driver
v2.9.2or later to also cover the separately disclosed BSON array-validation vulnerability.
- 主要言語
- Go
- スター
- 1.1k
- フォーク
- 70
- 平均マージ
- 3日 21時間
- マージ済み PR（30日）
- 34
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
hookdeck/outpost のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
メンテナーはふだん 4 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 4 日以内に返信
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 30/100
hookdeck/outpost#1195 · コメント 1 件 ·
メンテナーはふだん 4 日以内に返信
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
hookdeck/outpost#1194 · コメント 1 件 ·
メンテナーはふだん 4 日以内に返信
-
難易度 5/5 1週間以上 初心者へのやさしさ 38/100
メンテナーはふだん 4 日以内に返信
hookdeck/outpost の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
shukiv/jabali-panel#2423 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
-
area/docs good first issue help wanted kind/docs priority/p2 triage/accepted
難易度 2/5 1〜3時間 初心者へのやさしさ 88/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
mattabate/life-distributable#158 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
router-for-me/CLIProxyAPI#7330 ·
メンテナーはふだん 1 日以内に返信