CVE-2026-65653

Nome do Software Vulnerável e Versões Afetadas github.com/temporalio/tchannel-go (versões afetadas não especificadas)

Description O software não rejeita fragmentos de chamada TChannel que contenham metadados de checksum, mas careçam de chunks de argumentos prefixados por comprimento. Nesse cenário, o leitor de fragmentos deixa seu slice de chunks vazio e tenta selecionar incondicionalmente o primeiro elemento. Um peer de rede remoto pode desencadear isso enviando um fragmento de chamada malformado, o que pode ser feito como uma solicitação de chamada inicial direta após o handshake de inicialização padrão. Isso resulta em um panic de limites de slice do Go não recuperado dentro de uma goroutine de despacho criada pela biblioteca, fazendo com que o processo de hospedagem seja encerrado e levando a uma negação de serviço remota para aplicações que expõem o listener a peers não confiáveis.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.