PT-2026-132861
CVE-2026-62160
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
github.com/daptin/daptin الإصدارات 0.12.x وما قبلها
Description
يمكن لمستخدم غير مصرح له التسبب في حالة حجب الخدمة (DoS) عن طريق إرسال طلب HTTP مصمم خصيصًا. يقوم
LanguageMiddleware (المسجل كبرمجية وسيطة عالمية لـ gin) بمعالجة ترويسة Accept-Language باستخدام language.ParseAcceptLanguage دون فرض أي قيود على الحجم أو تصفية للحروف. وبينما يوجد حاجز للحد من عدد رموز - ، فإنه لا يأخذ في الاعتبار رموز ، والتي يقوم الماسح الداخلي بتحويلها إلى - قبل التحليل.يمكن للمهاجم تجاوز هذا الحاجز باستخدام فاصلات
في قائمة طويلة من علامات اللغة المشوهة، مما يؤدي إلى سلوك زمني تربيعي في المحلل. على سبيل المثال، يمكن لحمولة بحجم 256 كيلوبايت أن تستهلك حوالي 27 ثانية من وحدة المعالجة المركزية للخادم، ويمكن لحمولة بحجم 1 ميجابايت أن تتجاوز 120 ثانية. يتيح ذلك لمهاجم واحد بنطاق ترددي محدود تعطيل نوى وحدة المعالجة المركزية للخادم بشكل مستمر. يتفاقم هذا الأمر بسبب دالة GetLanguagePreference() واستدعاء resource.CheckErr() ، الذي يقوم بتنسيق الإدخال الخبيث بالكامل في سطر سجل عند الفشل.Recommendations
تنفيذ تصفية للحجم أو فئة الحروف داخل
LanguageMiddlewareFunc() و GetLanguagePreference() لحساب فاصلات - و معًا، وإيقاف العملية إذا تجاوز المجموع حدًا معقولاً (على سبيل المثال، 32) قبل استدعاء language.ParseAcceptLanguage. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾