CVE-2026-97037

اسم البرنامج المصاب والإصدارات المتأثرة Go (إصدارات متأثرة غير محددة)

الوصف يمكن أن يؤدي بناء حزمة خبيثة تستخدم cgo إلى تنفيذ رمز عشوائي في وقت الربط عن طريق تمرير ملفات نص برمجية للرابط (linker script files) إلى رابط المضيف عبر #cgo LDFLAGS. وتحديداً، كانت بعض أعلام -Wl, المنقسمة التي تستهلك وسيطاً تالياً، مثل -Wl,-rpath و -Wl,--just-symbols و -Wl,-undefined تقبل سابقاً وسيطاً ثانياً مجرداً بدون بادئة -Wl, والتي كان برنامج تشغيل المترجم يمررها مباشرة إلى الرابط كملف إدخال موضعي. بالإضافة إلى ذلك، عند استخدام GNU ld.bfd، يمكن أن تؤدي الأعلام مثل -framework و -Wl,-framework و -Wl,-undefined و -Wl,--just-symbols و -Wl,-R و -Wl,-subsystem و -Wl,-sectcreate (على المنصات غير التابعة لـ Darwin) إلى جعل ld.bfd يفسر وسائطها على أنها ملفات نص برمجية للرابط إذا كانت تشير إلى ملف عادي على القرص.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.