CVE-2020-29511
Publiée le 2020-12-14 · Dernière modification le 2026-06-17
Les applications écrites dans le langage de programmation Go qui utilisent le package `encoding/xml` pour traiter des données XML sont concernées. Un attaquant peut envoyer des entrées XML spécialement conçues pour induire l'application en erreur, contournant potentiellement des contrôles de sécurité ou manipulant le traitement des données pour prendre le contrôle total du système. Cette action peut être exécutée à distance via le réseau, sans nécessiter d'authentification ni d'interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The encoding/xml package in Go (all versions) does not correctly preserve the semantics of element namespace prefixes during tokenization round-trips, which allows an attacker to craft inputs that behave in conflicting ways during different stages of processing in affected downstream applications.