Insufficient sanitization of Host header in net/http

TRUNG BÌNH 6.5CVE-2023-29406 · BIT-golang-2023-29406 · GO-2023-1878 · Công bố 11/07/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-29406 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng stdlib, go (golang).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.5%, cao hơn 73.4% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.20.6, 1.19.11 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
stdlib Go	`≥ 1.20.0-0, < 1.20.6< 1.19.11`	`1.20.61.19.11`
go golang	`≥ 1.20.0, < 1.20.6< 1.19.11`	`1.20.61.19.11`

Mô tả

The HTTP/1 client does not fully validate the contents of the Host header. A maliciously crafted Host header can inject additional headers or entire requests.

With fix, the HTTP/1 client now refuses to send requests containing an invalid Request.Host or Request.URL.Host value.

Mô tả của NVD

The HTTP/1 client does not fully validate the contents of the Host header. A maliciously crafted Host header can inject additional headers or entire requests. With fix, the HTTP/1 client now refuses to send requests containing an invalid Request.Host or Request.URL.Host value.

Tham khảo

go.dev/issue/60374 · REPORT
go.dev/cl/506996 · FIX
groups.google.com/g/golang-announce/c/2q13H6LEEx0 · WEB
pkg.go.dev/vuln/GO-2023-1878 · Vendor Advisory
security.gentoo.org/glsa/202311-09
security.netapp.com/advisory/ntap-20230814-0002

Lỗ hổng khác của stdlib

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

stdlib

≥ 1.20.0-0, < 1.20.6< 1.19.11

1.20.61.19.11

golang

≥ 1.20.0, < 1.20.6< 1.19.11