תיאור (מקור, אנגלית)
The "go tool pack" subcommand (usually used only by the compiler as an internal tool with known-good inputs) does not sanitize output filenames. Extracting a malicious archive file with the "pack" subcommand can write files to arbitrary locations on the filesystem.
מוצרים מושפעים
golang: go
קישורים4
- pkg.go.dev/vuln/GO-2026-4979 Vendor Advisory
- go.dev/cl/767520 Patch
- go.dev/issue/78778 Issue Tracking
- groups.google.com/g/golang-announce/c/qcCIEXso47M Issue TrackingMailing List
מדדים
- CVSS 3.1
-
5.9
MEDIUM
מקור הציון: NVD
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:N - EPSS — סבירות ניצול
- 0% אחוזון 6 · נכון ל-13 בנובמבר 2026
- CWE
- CWE-787
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.