CVE-2026-35480

ŚrednieCVSS 6.2

Opublikowano: 07/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

W go-ipld-prime przed wersją 0.22.0 dekoder DAG-CBOR używa rozmiarów kolekcji zadeklarowanych w nagłówkach CBOR jako wskazówek prealokacji pamięci, bez ograniczania ich rozmiaru. Małe ładunki mogą powodować nadmierną alokację pamięci.

Ocena ryzyka

Atakujący może wysłać mały ładunek powodujący nadmierne zużycie pamięci, co może prowadzić do wyczerpania zasobów i odmowy usługi.

Rekomendacja

Zaktualizuj go-ipld-prime do wersji 0.22.0 lub nowszej.

Inne podatności w go-ipld-prime

CVE-2023-22460Wysokie
go-ipld-prime to implementacja specyfikacji IPLD. Podczas kodowania danych zawierających węzeł typu Bytes, token Bytes jest przekazywany do kodera JSON, co powoduje panic, ponieważ JSON nie powinien kodować danych binarnych. Problem dotyczy tylko kodera 'json', nie 'dag-json' ani dekodera. Błąd został naprawiony w wersji v0.19.0.

Oryginalny opis (angielski, źródło NVD)

go-ipld-prime is an implementation of the InterPlanetary Linked Data (IPLD) spec interfaces, a batteries-included codec implementations of IPLD for CBOR and JSON, and tooling for basic operations on IPLD objects. Prior to 0.22.0, the DAG-CBOR decoder uses collection sizes declared in CBOR headers as Go preallocation hints for maps and lists. The decoder does not cap these size hints or account for their cost in its allocation budget, allowing small payloads to cause excessive memory allocation. This vulnerability is fixed in 0.22.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS