CVE-2020-29510
Publiée le 2020-12-14 · Dernière modification le 2026-06-17
Les applications écrites en Go (version 1.15 et versions antérieures) qui utilisent le package `encoding/xml` pour traiter des données XML sont concernées. Un attaquant peut envoyer un fichier XML spécialement conçu qui est interprété différemment par diverses parties du système, ce qui pourrait lui permettre de contourner des filtres de sécurité ou de manipuler des données. Cette attaque peut être réalisée à distance via un réseau, sans nécessiter d'authentification ni d'interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The encoding/xml package in Go versions 1.15 and earlier does not correctly preserve the semantics of directives during tokenization round-trips, which allows an attacker to craft inputs that behave in conflicting ways during different stages of processing in affected downstream applications.