XPath: Boolean expression infinite loop leads to denial of service via CPU exhaustion

CAO 7.5CVE-2026-32287 · GHSA-65xw-vw82-r86x · GO-2026-4526 · Công bố 26/03/2026 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2026-32287 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng github.com/antchfx/xpath, xpath (antchfx).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.54%, cao hơn 45.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.3.6 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/antchfx/xpath Go	`< 1.3.6`	`1.3.6`
xpath antchfx	`< 1.3.6`	`1.3.6`

Mô tả

Boolean expressions that evaluate to true can cause an infinite loop in logicalQuery.Select, leading to 100% CPU usage. This can be triggered by top-level selectors such as "1=1" or "true()".

Mô tả của NVD

Boolean XPath expressions that evaluate to true can cause an infinite loop in logicalQuery.Select, leading to 100% CPU usage. This can be triggered by top-level selectors such as "1=1" or "true()".

Tham khảo

nvd.nist.gov/vuln/detail/CVE-2026-32287 · ADVISORY
antchfx/xpath · WEB
golang/vulndb · WEB
antchfx/xpath commit afd4762 · WEB
antchfx/xpath · PACKAGE
pkg.go.dev/vuln/GO-2026-4526 · WEB
securityinfinity.com/research/infinite-loop-dos-in-antchfx-xpath-logicalquery-select · WEB

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí