Mundur

**Nome do Software Vulnerável e Versões Afetadas** Go (versões afetadas não especificadas) **Descrição** Um GOSUMDB malicioso pode fornecer conteúdo de módulo arbitrário que não está presente no log de transparência. Isso permite que um GOPROXY e um GOSUMDB coordenados entreguem conteúdo de módulo malicioso a um cliente, o qual não pode ser detectado através da avaliação do log de transparência. **Recomendações** Para determinar se o sistema foi afetado, execute o seguinte comando: `rm -r go.sum go.work.sum vendor/ && go mod tidy`.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** A análise de um SVCB (Service Binding) ou HTTPS RR (Resource Record) inválido pode causar um pânico quando o tamanho de um valor de parâmetro excede o buffer de mensagem. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Em sistemas Unix, a abertura de um arquivo em um os.Root segue incorretamente links simbólicos para locais fora do Root. Isso ocorre quando o componente final de um caminho é um link simbólico e o caminho termina em uma barra diagonal (/). Por exemplo, chamar `root.Open("symlink/")` permite o acesso ao destino do link simbólico, mesmo que ele aponte para fora do diretório raiz designado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Go (versões afetadas não especificadas) **Descrição** Uma falha na validação de somas de verificação (checksums) de módulos do comando `go` permite que um proxy de módulo malicioso ignore a validação do banco de dados de checksums. Isso ocorre quando o banco de dados de checksums retorna uma resposta bem-sucedida que não contém nenhuma entrada para o módulo, levando o comando `go` a permitir incorretamente que a validação seja bem-sucedida. Consequentemente, um proxy malicioso pode fornecer versões alteradas do toolchain do Go ou de módulos. Isso é particularmente crítico quando uma versão diferente do toolchain é selecionada por meio da variável de ambiente `GOTOOLCHAIN`, de um arquivo `go.work` ou de um arquivo `go.mod`, pois o comando `go` baixará e executará o toolchain fornecido pelo proxy. O problema afeta usuários que utilizam um proxy de módulo (`GOMODPROXY`) ou banco de dados de checksums (`GOSUMDB`) não confiável. **Recomendações** Atualize o toolchain base do Go. Usuários com um `GOPROXY` não confiável podem revalidar todas as dependências do módulo atual executando "rm go.sum ; go mod tidy ; go mod verify".

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Existe uma falha onde um autor de template confiável pode incluir uma tag `<script>` com um atributo `type` vazio ou um atributo `type` contendo espaços em branco ASCII. Isso faz com que a execução do template escape incorretamente os dados passados para o bloco `<script>`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.