PT-2025-51779
CVE-2025-68156
·
تاريخ النشر
2025-12-16
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:N/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Expr الأقدم من 1.17.7
الوصف
تحتوي مكتبة Expr، المستخدمة للغة وتقييم التعبيرات في Go، على ثغرة أمنية قد تؤدي فيها بعض الدوال المدمجة – بما في ذلك
flatten وmin وmax وmean وmedian – إلى حدوث رفض الخدمة. تقوم هذه الوظائف بالتنقل بشكل متكرر عبر هياكل البيانات التي يقدمها المستخدم دون حد أقصى لعمق التكرار. إذا كانت بيئة التقييم تتضمن هياكل بيانات متداخلة بعمق أو دورية، فقد تدخل هذه الوظائف في تكرار لانهائي، مما يؤدي إلى حدوث حالة ذعر (panic) بسبب تجاوز سعة المكدس وفشل التطبيق. وتزداد أهمية هذه المشكلة عند تقييم التعبيرات في بيئات مقدمة من مصادر خارجية أو مبنية ديناميكيًا. تم حل المشكلة عن طريق إدخال حد أقصى لعمق التكرار في الإصدار 1.17.7، والذي يُرجع خطأً بدلاً من الدخول في حالة ذعر عند تجاوزه. يمكن تخصيص العمق الأقصى باستخدام builtin.MaxDepth.التوصيات
قم بالتحديث إلى الإصدار 1.17.7 أو أحدث من Expr.
تأكد من أن بيئات التقييم لا تحتوي على مراجع دورية.
تحقق من صحة هياكل البيانات المقدمة من مصادر خارجية أو قم بتنقيتها قبل تمريرها إلى Expr.
قم بتغليف تقييم التعبيرات باسترداد حالة الذعر كإجراء وقائي كملاذ أخير.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾