CVE-2026-97039

اسم البرنامج المتأثر والإصدارات المتأثرة Go (إصدارات متأثرة غير محددة)

Description يمكن أن يؤدي بناء حزمة خبيثة تستخدم توجيهات #cgo pkg-config: إلى تحميل ملفات .pc غير موثوقة خاصة بـ pkg-config أو حقن أعلام مترجم ورابط (linker) غير مصدق عليها. يحدث هذا لأن قائمة السماح الخاصة بأعلام pkg-config كانت تسمح سابقاً بـ --with-path= و --personality=، وتسمح بقيم --define-variable= التي تبدأ بـ = أو $، مما قد يؤدي إلى إعادة كتابة المسارات في ملفات .pc الخاصة بالنظام إلى مسارات بحث للرابط مسبوقة بـ sysroot. بالإضافة إلى ذلك، فإن وسائط الحزمة التي تنتهي بـ .pc أو تحتوي على فاصل مسارات أو .. تسببت في قيام pkg-config بتحميل ملفات .pc محلية مباشرة من دليل الحزمة. علاوة على ذلك، لم يتم فحص الأعلام التي تعيدها pkg-config --cflags في cgoCPPFLAGS عند تحديد ما إذا كان الربط الداخلي آمناً.

Recommendations في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.