CVE-2026-97038

Nome do Software Vulnerável e Versões Afetadas Go (versões afetadas não especificadas)

Descrição A compilação de um pacote malicioso contendo arquivos .syso ou entradas de linker cgo pode injetar flags de linker arbitrárias ou executar código arbitrário no momento da vinculação. Isso acontece porque arquivos de entrada do linker—incluindo arquivos .syso, entradas diretas de objetos ou bibliotecas em #cgo LDFLAGS e bibliotecas em diretórios -L—eram passados ao linker externo sem a validação de seu formato ou verificação de opções de linker incorporadas. Em diversas plataformas, isso permitia a execução de scripts de linker implícitos do GNU ld disfarçados de bibliotecas ou arquivos .syso, a injeção de flags de linker não permitidas via seções .drectve de PE/COFF no Windows ou comandos de carregamento LC LINKER OPTION de Mach-O no Darwin, ou a invocação de plugins LTO (Link Time Optimization) via seções de representação intermediária LTO do GCC ou LLVM em objetos ELF, PE/COFF ou Mach-O.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.