CVE-2025-58190
ŚrednieStreszczenie
Funkcja html.Parse w pakiecie golang.org/x/net/html wchodzi w nieskończoną pętlę podczas przetwarzania specjalnie spreparowanych danych wejściowych HTML. Atakujący może wykorzystać tę podatność do przeprowadzenia ataku typu odmowa usługi (DoS).
Ocena ryzyka
Organizacja narażona jest na ryzyko przerwania działania usług przetwarzających HTML, co może prowadzić do niedostępności aplikacji i strat finansowych.
Rekomendacja
Należy niezwłocznie zaktualizować pakiet golang.org/x/net do wersji zawierającej poprawkę eliminującą nieskończoną pętlę w funkcji html.Parse.
Inne podatności w golang.org/x/net/html
Zobacz wszystkie- CVE-2025-22872Średnie
Tokenizer nieprawidłowo interpretuje znaczniki z niecytowanymi wartościami atrybutów kończącymi się znakiem ukośnika (/) jako samozamykające. Przy bezpośrednim użyciu Tokenizer może to powodować błędne oznaczanie takich znaczników jako samozamykających, a przy użyciu funkcji Parse treść po takich znacznikach może trafić do niewłaściwego zakresu podczas budowy DOM, ale tylko gdy znaczniki znajdują się w obcej treści (np. kontekst <math>, <svg>).
- CVE-2025-47911Średnie
Funkcja html.Parse w pakiecie golang.org/x/net/html ma kwadratową złożoność parsowania dla specjalnie spreparowanych danych wejściowych HTML, co może prowadzić do odmowy usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
The html.Parse function in golang.org/x/net/html has an infinite parsing loop when processing certain inputs, which can lead to denial of service (DoS) if an attacker provides specially crafted HTML content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS