CVE-2026-97043

Nome do Software Vulnerável e Versões Afetadas Go (versões afetadas não especificadas)

Descrição A compilação de um pacote malicioso usando cgo pode ignorar a validação de #cgo LDFLAGS, potencialmente levando à execução de código inesperado durante o tempo de compilação ou fazendo com que o comando go entre em pânico. Isso ocorre devido a aspas manipuladas em diretivas //go:cgo ldflag. Especificamente, o cmd/cgo coloca os argumentos #cgo LDFLAGS entre aspas usando strconv.Quote, mas o cmd/compile e o cmd/go analisam essas diretivas dividindo-as por caracteres de aspas brutos, sem lidar com escapes de barra invertida ou desaspaçar a string. Essa discrepância permite que flags de linker não permitidas ou caminhos de pesquisa de linker não validados ignorem as verificações de flag e cheguem ao linker externo. Além disso, a deduplicação de LDFLAGS no comando go pode causar um pânico com um índice de fatia fora dos limites na função processCgoOutputs() quando um prefixo da lista de flags coincide perto do final da fatia.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.