CVE-2026-97040

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado. (versões afetadas não especificadas)

Descrição A construção de um pacote contendo um arquivo .syso manipulado permite ignorar a validação de flags do cgo para injetar flags de linker arbitrárias durante o processo de vinculação. Isso ocorre porque o linker verifica apenas cabeçalhos de objetos host reconhecidos (ELF, Mach-O, PE e XCOFF) antes de prosseguir para a análise de objetos Go. Se um arquivo .syso começar com um cabeçalho go object, ele é interpretado como um objeto do compilador Go, permitindo que diretivas de metadados cgo não confiáveis, como cgo ldflag ou cgo dynamic linker, sejam passadas para o linker externo sem validação. Além disso, nomes de arquivos .syso com mais de 16 bytes perdem a extensão .syso ao serem truncados em cabeçalhos de arquivo, e formatos .syso não reconhecidos podem forçar a vinculação externa em builds puramente em Go.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.