CVE-2026-67201
Publiée le 2026-07-29 · Dernière modification le 2026-10-24
Les serveurs Go utilisant la version 0.5.2 ou une version antérieure sont susceptibles de subir un contournement des listes d'autorisation basées sur l'hôte. Un attaquant non authentifié disposant d'un accès réseau peut envoyer une URL spécialement conçue pour tromper le serveur et l'inciter à effectuer des requêtes vers des services réseau internes qui devraient être bloqués. Comme cela ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers, l'exécution est relativement simple si le logiciel concerné est exposé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
V through 0.5.2, fixed in commit 85859f0, contains a server-side request forgery (SSRF) bypass vulnerability that allows attackers to circumvent host-based allowlists by exploiting a parser differential between net.urllib and net.http. Attackers can craft a URL containing a backslash in the authority section such that net.urllib.parse() extracts the trusted host for allowlist validation while net.http.get() normalizes the backslash and connects to the internal host, enabling access to internal network services that the allowlist was intended to block.