CVE-2026-82509

Nome do Software Vulnerável e Versões Afetadas V programming language versões anteriores ao commit 4077484 da versão 0.5.2

Description A biblioteca padrão net.http contém uma falha de bypass de validação de certificado TLS. Isso ocorre porque SSLConnectConfig.validate e FetchConfig.validate possuem o valor padrão false, permitindo que o handshake TLS seja concluído sem verificar os certificados nos backends mbedtls e OpenSSL. Um atacante on-path pode interceptar, ler ou modificar o tráfego HTTPS ao apresentar um certificado expirado, autoassinado, com hostname incorreto ou raiz não confiável quando o cliente utiliza http.get, http.post ou http.fetch sem configurar explicitamente validate: true.

Recommendations Atualize a V programming language para a versão 0.5.2 commit 4077484 ou posterior. Como medida de mitigação temporária, configure explicitamente validate: true ao usar http.get, http.post ou http.fetch para garantir que os certificados sejam verificados.