Vulnerable `x/net` and `MongoDB` Go dependencies

Đang mở
  • Có gì không ổn?
#1,199 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 4 ngày

@chiliec đang làm issue này rồi.

Từ ngày 6/11/2026.

  • #1200 của @chiliec — đang mở

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
35/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Đình trệ
Công nghệ
go
Lĩnh vực
backend, security

Hướng nghiên cứu

Start with the Go dependency declarations and update golang.org/x/net to v0.62.0 or later and go.mongodb.org/mongo-driver/v2 to v2.9.2 or later. Check the resulting dependency versions and run the repository’s relevant Go checks; done when both minimum versions are present. An open linked pull request already addresses this issue.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

bug

Summary

Our security scanner reports vulnerabilities in golang.org/x/net and go.mongodb.org/mongo-driver/v2 in our deployed Outpost Docker image.

The inspected repository checkout includes these indirect dependencies:

  • golang.org/x/net v0.60.0; scanner recommends v0.62.0
  • go.mongodb.org/mongo-driver/v2 v2.8.0; scanner recommends v2.9.0

These findings concern HTML parsing/rendering and BSON value-length validation. Their presence in the dependency list does not by itself establish exploitability in Outpost.

Affected image

  • Source versions observed in the inspected checkout:
    • golang.org/x/net v0.60.0
    • go.mongodb.org/mongo-driver/v2 v2.8.0

Scanner findings

golang.org/x/net

Scanner summary:

golang.org/x/net is affected by 2 unique vulnerabilities. 1 is high and 1 is medium.

In order to fix all of these vulnerabilities, update golang.org/x/net to 0.62.0.

golang.org/x/net v0.62.0 fixes two issues in golang.org/x/net/html:

  • CVE-2026-78661 / GO-2026-6860: Crafted HTML containing repeated short text runs can cause quadratic allocations and copying during parsing, potentially causing denial of service. Affects Parse, ParseFragment and their options variants.
  • CVE-2026-97045 / GO-2026-6866: Incorrect handling of ancestor namespace transitions in Render can produce output that is interpreted differently when parsed again, potentially enabling cross-site scripting.

Both affect versions before v0.62.0.

References:

go.mongodb.org/mongo-driver/v2

The scanner reports an integer overflow in BSON value-length handling:

  • CVE-2026-107324
  • GHSA-xhx9-594p-jcqq
  • Affected v2 versions: before v2.9.0
  • Fixed version: v2.9.0

When processing a malformed BSON value, valueLength() adds fixed overhead to an attacker-controlled length using an int32. The result can overflow to a negative number, pass a bounds check, and cause a slice-bounds panic.

An application that validates or accesses attacker-controlled BSON through an affected path can panic. Without recovery, this can terminate the process and cause denial of service.

References:

Requested fix

  • Update golang.org/x/net to v0.62.0 or later.
  • Update go.mongodb.org/mongo-driver/v2 to at least v2.9.0 for the reported BSON overflow.
  • Prefer MongoDB driver v2.9.2 or later to also cover the separately disclosed BSON array-validation vulnerability.
Ngôn ngữ chính
Go
Star
1.1k
Fork
70
Merge trung bình
3 ngày 21 giờ
Pull request đã merge (30 ngày)
34

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của hookdeck/outpost

Tất cả issue của hookdeck/outpost

Issue tương tự

Thêm issue về Go

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.