CVE-2026-56864
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Złośliwy GOSUMDB mógł serwować dowolną treść modułu nie zawartą w dzienniku przejrzystości. Ten atak pozwala skoordynowanemu GOPROXY i GOSUMDB na serwowanie klientowi złośliwej treści modułu, która nie może być wykryta przez ocenę dziennika przejrzystości. Aby sprawdzić, czy zostałeś dotknięty: rm -r go.sum go.work.sum vendor/ && go mod tidy
Ocena ryzyka
Organizacja może otrzymać i używać złośliwego kodu modułu, co może prowadzić do naruszenia bezpieczeństwa aplikacji lub wstrzyknięcia złośliwego oprogramowania.
Rekomendacja
Zaktualizuj narzędzia Go do wersji zawierającej poprawkę i wykonaj podane polecenia, aby zweryfikować integralność modułów.
Oryginalny opis (angielski, źródło NVD)
A malicious GOSUMDB was capable of serving arbitrary module content not contained within the transparency log. This attack allows for a coordinating GOPROXY and GOSUMDB to serve a client malicious module content that cannot be detected by evaluating the transparency log. In order to determine if you have been affected: rm -r go.sum go.work.sum vendor/ && go mod tidy