CVE-2026-97039

Nome do Software Vulnerável e Versões Afetadas Go (versões afetadas não especificadas)

Description A compilação de um pacote malicioso que utiliza diretivas #cgo pkg-config: pode carregar arquivos .pc do pkg-config não confiáveis ou injetar flags de compilador e linker não validadas. Isso acontece porque a lista de permissões de flags do pkg-config anteriormente permitia --with-path= e --personality=, e permitia valores de --define-variable= começando com = ou $, o que poderia reescrever caminhos de arquivos .pc do sistema em caminhos de busca do linker prefixados por sysroot. Além disso, argumentos de pacote terminando em .pc ou contendo separadores de caminho ou .. faziam com que o pkg-config carregasse arquivos .pc locais diretamente do diretório do pacote. Adicionalmente, as flags retornadas por pkg-config --cflags em cgoCPPFLAGS não eram verificadas ao determinar se a vinculação interna era segura.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.