CVE-2026-78661

Avoid quadratic complexity when coalescing text nodes in html in golang.org/x/net

CVSS 3.1SCORE

N/A/ 10.0

Опубликовано

27 октября 2026 г.

Обновлено

27 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.62.0

Обновить golang.org/x/net до коммита с накоплением байтовых срезов на узел и однократной материализацией Data в конце парсинга.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Квадратичная алгоритмическая сложность при слиянии смежных текстовых узлов в парсере HTML библиотеки golang.org/x/net.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функции addText и fosterParent выполняют конкатенацию строк n.Data += text, что вызывает реаллокацию памяти и побайтовое копирование аккумулятора на каждом токене при разборе множества коротких фрагментов с игнорируемыми закрывающими тегами.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Атака типа DoS за счет истощения вычислительных ресурсов CPU и неконтролируемого выделения памяти (O(n^2)).

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

golang.org/x/netgolang.org/x/net/html

>= 0➔Fix: 0.62.0

——

>= 0➔Fix: 0.62.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

go.devhttps://go.dev/cl/849365
go.devhttps://go.dev/issue/82224
groups.google.comhttps://groups.google.com/g/golang-announce/c/sqrs2vTx_Xs
pkg.go.devhttps://pkg.go.dev/vuln/GO-2026-6860

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-78661: Avoid quadratic complexity when coalescing text nodes in html in golang.org/x/net. URL: https://cve.futuretools.ru/cve/CVE-2026-78661

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_78661,
  title = {{CVE-2026-78661: Avoid quadratic complexity when coalescing text nodes in html in golang.org/x/net}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-78661}},
  note = {Оперативный инженерный анализ киберугроз}
}