CVE-2026-97040

اسم البرنامج المصاب والإصدارات المتأثرة تعذر تحديد اسم المنتج. (الإصدارات المتأثرة غير محددة)

الوصف يؤدي بناء حزمة تحتوي على ملف .syso مصمم خصيصاً إلى تجاوز التحقق من أعلام cgo وحقن أعلام ربط (linker flags) تعسفية أثناء عملية الربط. يحدث هذا لأن الرابط يتحقق فقط من ترويسات كائنات المضيف المعترف بها (ELF و Mach-O و PE و XCOFF) قبل الانتقال إلى تحليل كائنات Go. إذا بدأ ملف .syso بترويسة go object ، يتم تحليله ككائن مترجم Go ، مما يسمح بتمرير توجيهات بيانات cgo الوصفية غير الموثوقة (مثل cgo ldflag أو cgo dynamic linker) المضمنة في ملف .syso إلى الرابط الخارجي دون التحقق منها. بالإضافة إلى ذلك ، تفقد أسماء ملفات .syso التي يزيد طولها عن 16 بايت امتداد .syso عند اقتطاعها في ترويسات الأرشيف ، وتؤدي تنسيقات .syso غير المعترف بها إلى فرض الربط الخارجي في عمليات بناء Go النقية.

التوصيات في الوقت الحالي ، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.