Podatności golang.org/x/net/html

Tokenizer nieprawidłowo interpretuje znaczniki z niecytowanymi wartościami atrybutów kończącymi się znakiem ukośnika (/) jako samozamykające. Przy bezpośrednim użyciu Tokenizer może to powodować błędne oznaczanie takich znaczników jako samozamykających, a przy użyciu funkcji Parse treść po takich znacznikach może trafić do niewłaściwego zakresu podczas budowy DOM, ale tylko gdy znaczniki znajdują się w obcej treści (np. kontekst <math>, <svg>).

Funkcja html.Parse w pakiecie golang.org/x/net/html ma kwadratową złożoność parsowania dla specjalnie spreparowanych danych wejściowych HTML, co może prowadzić do odmowy usługi (DoS).

Funkcja html.Parse w pakiecie golang.org/x/net/html wchodzi w nieskończoną pętlę podczas przetwarzania specjalnie spreparowanych danych wejściowych HTML. Atakujący może wykorzystać tę podatność do przeprowadzenia ataku typu odmowa usługi (DoS).