CVE-2026-97042

Nome do Software Vulnerável e Versões Afetadas Go (versões afetadas não especificadas)

Descrição A construção de um pacote malicioso que utiliza //go:cgo import dynamic ou a vinculação a um objeto PE manipulado no Windows pode passar argumentos de biblioteca inseguros para o linker externo. O compilador validava apenas o primeiro caractere do nome da biblioteca em diretivas //go:cgo import dynamic e ignorava a validação em arquivos gerados pelo cgo. Além disso, no Windows, cmd/cgo e cmd/link não validavam nomes de DLL importados de arquivos de objeto PE antes de emitir flags -l<name> para o linker externo, permitindo que um nome de DLL manipulado contendo travessia de caminho .. ou caracteres especiais referenciasse arquivos arbitrários no disco.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.