- Yama var
- Son 7 gün
- CWE-674
CVE-2026-116586
Go JOSE JSON ayrıştırmasında yığın taşması nedeniyle hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Go JOSE, Go dilinde JSON Web Encryption (JWE), JSON Web Signature (JWS) ve JSON Web Token (JWT) standartlarını da içeren JavaScript Object Signing and Encryption standart kümesinin bir uygulamasını sağlar. 4.1.5 sürümünden önce, go-jose üzerinden saldırgan kontrolündeki JSON verisinin ayrıştırılması, derinlemesine iç içe geçmiş dizi veya nesnelerin Go'nun yığın (stack) sınırını aşmasına izin veriyordu. Ortaya çıkan yığın taşması uygulamayı çökertir ve go-jose ile güvenilmeyen JSON verisini ayrıştıran uygulamalarda hizmet dışı bırakma imkânı tanır. Bu sorun 4.1.5 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Go JOSE provides an implementation of the Javascript Object Signing and Encryption set of standards in Go, including support for JSON Web Encryption (JWE), JSON Web Signature (JWS), and JSON Web Token (JWT) standards. Prior to 4.1.5, parsing attacker-controlled JSON through go-jose allows deeply nested arrays or objects to exceed Go's stack limit. The resulting stack overflow crashes the application and permits denial of service in applications that parse untrusted JSON through go-jose. This issue is fixed in version 4.1.5.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| go-jose | < 4.1.5 | 4.1.5 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.