CVE-2026-97042

اسم البرنامج المصاب والإصدارات المتأثرة Go (إصدارات متأثرة غير محددة)

الوصف يمكن أن يؤدي بناء حزمة خبيثة تستخدم //go:cgo import dynamic أو الربط بكائن PE مصمم خصيصاً على نظام Windows إلى تمرير وسائط مكتبة غير آمنة إلى الرابط الخارجي. كان المترجم يتحقق فقط من الحرف الأول من اسم المكتبة في توجيهات //go:cgo import dynamic ويتخطى التحقق في الملفات التي يتم إنشاؤها بواسطة cgo. بالإضافة إلى ذلك، في نظام Windows، لم يقم cmd/cgo و cmd/link بالتحقق من أسماء ملفات DLL المستوردة من كائنات PE قبل إصدار أعلام -l<name> للرابط الخارجي، مما يسمح لاسم DLL مصمم خصيصاً يحتوي على تجاوز المسار .. أو رموز خاصة بالإشارة إلى ملفات عشوائية على القرص.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.