CVE-2020-29509
Publiée le 2020-12-14 · Dernière modification le 2026-06-17
Les applications écrites dans le langage de programmation Go qui utilisent le package `encoding/xml` pour traiter des données XML sont concernées. Un attaquant peut envoyer des entrées XML spécialement conçues qui sont interprétées différemment par diverses parties du système, ce qui peut potentiellement mener à un accès non autorisé aux données ou à une manipulation du système. Cette action est facile à exécuter à distance via un réseau et ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The encoding/xml package in Go (all versions) does not correctly preserve the semantics of attribute namespace prefixes during tokenization round-trips, which allows an attacker to craft inputs that behave in conflicting ways during different stages of processing in affected downstream applications.