p PatchFirst

CVE-2026-27142

CVE-2026-27142 · URLs in meta content attribute actions are not escaped in html/template

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Actions which insert URLs into the content attribute of HTML meta tags are not escaped. This can allow XSS if the meta tag also has an http-equiv attribute with the value "refresh". A new GODEBUG setting has been added, htmlmetacontenturlescape, which can be used to disable escaping URLs in actions in the meta content attribute which follow "url=" by setting htmlmetacontenturlescape=0.

CVSS 6.1 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • html/template

    Версии
    • ≥ 0, < 1.25.8: Затронуто (semver)
    • ≥ 1.26.0-0, < 1.26.1: Затронуто (semver)

    Обновитесь до 1.25.8; Обновитесь до 1.26.1

  • golang-1.19 Debian:12

    Версии
    • 1.19.10-1
    • 1.19.10-2
    • 1.19.11-1
    • 1.19.12-1
    • 1.19.12-2
    • 1.19.12-2~bpo11+1
    • 1.19.12-2~bpo12+1
    • 1.19.13-1
    • 1.19.13-1~bpo11+1
    • 1.19.13-1~bpo12+1
    • 1.19.8-2
    • 1.19.9-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.24 Debian:13

    Версии
    • 1.24.12-1
    • 1.24.13-1
    • 1.24.13-2
    • 1.24.4-1
    • 1.24.4-2
    • 1.24.4-3
    • 1.24.4-4
    • 1.24.7-1
    • 1.24.8-1
    • 1.24.9-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.26 Debian:14

    Версии
    • 1.26.0-1
    • 1.26~rc2-1
    • 1.26~rc3-1
    • 1.26~rc3-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.26.1-1

    Обновитесь до 1.26.1-1

  • golang-1.24 Ubuntu:22.04:LTS

    Версии
    • 1.24.4-1ubuntu1~22.04.1
    • 1.24.4-1ubuntu1~22.04.2
    • 1.24.13-2~22.04.1
    • 1.24.13-2~22.04.2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.25 Ubuntu:22.04:LTS

    Версии
    • 1.25.14-1~ubuntu0.22.04.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.26 Ubuntu:22.04:LTS

    Версии
    • 1.26.8-1~ubuntu0.22.04.2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.24 Ubuntu:24.04:LTS

    Версии
    • 1.24.4-1ubuntu1~24.04.1
    • 1.24.4-1ubuntu1~24.04.2
    • 1.24.13-2~24.04.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.25 Ubuntu:24.04:LTS

    Версии
    • 1.25.14-1~ubuntu0.24.04.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.26 Ubuntu:24.04:LTS

    Версии
    • 1.26.8-1~ubuntu0.24.04.2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.24 Ubuntu:25.10

    Версии
    • 1.24.2-1
    • 1.24.2-2
    • 1.24.4-1
    • 1.24.4-1ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.25 Ubuntu:25.10

    Версии
    • 1.25.0-0ubuntu1
    • 1.25.7-2~25.10.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.26 Ubuntu:26.10

    Версии
    • 1.26.0-1
    • 1.26.2-3
    • 1.26.4-1
    • 1.26.5-1
    • 1.26.6-2
    • 1.26.7-1
    • 1.26.8-1
    • 1.26.8-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.24 Ubuntu:26.04:LTS

    Версии
    • 1.24.4-1ubuntu1
    • 1.24.9-1
    • 1.24.13-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.25 Ubuntu:26.04:LTS

    Версии
    • 1.25.0-0ubuntu1
    • 1.25.7-2
    • 1.25.14-1~ubuntu0.26.04.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • golang-1.26 Ubuntu:26.04:LTS

    Версии
    • 1.26~rc3-2
    • 1.26.0-1
    • 1.26.8-1~ubuntu0.26.04.2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →