Memory exhaustion in query parameter parsing in net/url

CAO 7.5CVE-2025-61726 · BIT-golang-2025-61726 · GO-2026-4341 · Công bố 28/01/2026 · cập nhật 17/09/2026

Tóm tắt nhanh

CVE-2025-61726 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng stdlib, go (golang).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.3%, cao hơn 83.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.25.6, 1.24.12 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
stdlib Go	`≥ 1.25.0, < 1.25.6< 1.24.12`	`1.25.61.24.12`
go golang	`≥ 1.25.0, < 1.25.6< 1.24.12`	`1.25.61.24.12`

Mô tả

The net/url package does not set a limit on the number of query parameters in a query.

While the maximum size of query parameters in URLs is generally limited by the maximum request header size, the net/http.Request.ParseForm method can parse large URL-encoded forms. Parsing a large form containing many unique query parameters can cause excessive memory consumption.

Mô tả của NVD

The net/url package does not set a limit on the number of query parameters in a query. While the maximum size of query parameters in URLs is generally limited by the maximum request header size, the net/http.Request.ParseForm method can parse large URL-encoded forms. Parsing a large form containing many unique query parameters can cause excessive memory consumption.