CVE-2026-97043

اسم البرنامج المصاب والإصدارات المتأثرة Go (إصدارات متأثرة غير محددة)

الوصف يمكن أن تؤدي عملية بناء حزمة خبيثة تستخدم cgo إلى تجاوز التحقق من #cgo LDFLAGS مما قد يتسبب في تنفيذ رمز غير متوقع أثناء وقت البناء أو يؤدي إلى تعطل (panic) أمر go عبر استخدام علامات اقتباس مصممة بدقة في توجيهات //go:cgo ldflag. على وجه التحديد، يقوم cmd/cgo بوضع وسيطات #cgo LDFLAGS بين علامات اقتباس باستخدام strconv.Quote في توجيه //go:cgo ldflag ولكن cmd/compile و cmd/go يقومان بتحليل هذه التوجيهات عن طريق التقسيم بناءً على علامات الاقتباس الخام دون التعامل مع هروب الشرطة المائلة الخلفية أو إزالة علامات الاقتباس من السلسلة النصية. سمح هذا التباين بتمرير أعلام ربط (linker flags) غير مسموح بها أو مسارات بحث ربط غير مفحوصة لتجاوز فحوصات الأعلام في أمر go والوصول إلى الرابط الخارجي. بالإضافة إلى ذلك، يمكن أن تؤدي عملية إزالة التكرار من LDFLAGS في أمر go إلى حدوث تعطل بسبب فهرس شريحة خارج الحدود في الدالة processCgoOutputs() عندما يتطابق بادئة قائمة الأعلام بالقرب من نهاية الشريحة.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.