CVE-2026-62160

Nome do Software Vulnerável e Versões Afetadas github.com/daptin/daptin versões 0.12.x e anteriores

Description Um usuário não autenticado pode causar uma Negação de Serviço (DoS) enviando uma requisição HTTP especialmente manipulada. O LanguageMiddleware (registrado como um middleware global do gin) processa o cabeçalho Accept-Language usando language.ParseAcceptLanguage sem impor filtros de tamanho ou de caracteres. Embora exista uma proteção para limitar o número de caracteres -, ela não considera os caracteres , que o scanner interno converte para - antes do processamento.

Um invasor pode burlar essa proteção usando separadores em uma lista longa de tags de idioma malformadas, desencadeando um comportamento de tempo quadrático no parser. Por exemplo, um payload de 256 KiB pode consumir aproximadamente 27 segundos de CPU do servidor, e um payload de 1 MiB pode exceder 120 segundos. Isso permite que um único invasor com largura de banda limitada trave os núcleos de CPU do servidor indefinidamente. O problema é amplificado pela função GetLanguagePreference() e pela chamada resource.CheckErr(), que formata toda a entrada maliciosa em uma linha de log quando ocorre uma falha.

Recommendations Implementar um filtro de tamanho ou de classe de caracteres dentro de LanguageMiddlewareFunc() e GetLanguagePreference() para contar separadores - e , interrompendo o processo se o total exceder um limite razoável (ex: 32) antes de chamar language.ParseAcceptLanguage.