Memory exhaustion in query parameter parsing in net/url

高 7.5CVE-2025-61726 · BIT-golang-2025-61726 · GO-2026-4341 · 28/01/2026 公開 · 17/09/2026 更新

要点

CVE-2025-61726 は stdlib, go (golang) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.3%（全脆弱性の 83.2% より高い）。
対処：1.25.6, 1.24.12 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
stdlib Go	`≥ 1.25.0, < 1.25.6< 1.24.12`	`1.25.61.24.12`
go golang	`≥ 1.25.0, < 1.25.6< 1.24.12`	`1.25.61.24.12`

概要

The net/url package does not set a limit on the number of query parameters in a query.

While the maximum size of query parameters in URLs is generally limited by the maximum request header size, the net/http.Request.ParseForm method can parse large URL-encoded forms. Parsing a large form containing many unique query parameters can cause excessive memory consumption.

NVD の説明

The net/url package does not set a limit on the number of query parameters in a query. While the maximum size of query parameters in URLs is generally limited by the maximum request header size, the net/http.Request.ParseForm method can parse large URL-encoded forms. Parsing a large form containing many unique query parameters can cause excessive memory consumption.