From ab7a03386c56c749d56cc402d150b8a8205f4fcb Mon Sep 17 00:00:00 2001 From: sysops Date: Fri, 28 Aug 2026 23:01:19 +0200 Subject: [PATCH] =?UTF-8?q?OPS-06:=20fix=20=E2=80=94=20fixture=20ruft=20ta?= =?UTF-8?q?tsaechlich=20verwundbaren=20symbolpfad=20auf=20(ParseAcceptLang?= =?UTF-8?q?uage=20statt=20Parse,=20GO-2022-1059=20statt=20falscher=20advis?= =?UTF-8?q?ory-id)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- testdata/vulnfixture-go/go.mod | 8 +++++--- testdata/vulnfixture-go/main.go | 7 +++++-- 2 files changed, 10 insertions(+), 5 deletions(-) diff --git a/testdata/vulnfixture-go/go.mod b/testdata/vulnfixture-go/go.mod index 77d6fb6..65893f2 100644 --- a/testdata/vulnfixture-go/go.mod +++ b/testdata/vulnfixture-go/go.mod @@ -6,7 +6,9 @@ module gitea.perlbach24.de/scripte/nexarch/testdata/vulnfixture-go go 1.22 -// golang.org/x/text v0.3.7: GO-2022-0635 / CVE-2022-32149 — Denial of Service -// durch uebermaessigen Ressourcenverbrauch beim Parsen von BCP-47-Sprach-Tags. -// Bewusst auf dieser verwundbaren Version gepinnt, siehe scripts/verify-supply-chain-gate.sh. +// golang.org/x/text v0.3.7: GO-2022-1059 — Denial of Service durch +// uebermaessigen Ressourcenverbrauch beim Parsen von Accept-Language-Headern +// (language.ParseAcceptLanguage). Bewusst auf dieser verwundbaren Version +// gepinnt, siehe scripts/verify-supply-chain-gate.sh — main.go ruft gezielt +// den verwundbaren Symbolpfad auf, nicht nur irgendeine Funktion des Pakets. require golang.org/x/text v0.3.7 diff --git a/testdata/vulnfixture-go/main.go b/testdata/vulnfixture-go/main.go index 1335ed7..2a4268f 100644 --- a/testdata/vulnfixture-go/main.go +++ b/testdata/vulnfixture-go/main.go @@ -10,10 +10,13 @@ import ( ) func main() { - tag, err := language.Parse("de-DE") + // ParseAcceptLanguage ist der tatsaechlich verwundbare Aufrufpfad + // (GO-2022-1059), im Unterschied zu Parse() — govulncheck bewertet + // Erreichbarkeit auf Symbol-, nicht nur Paket-Ebene. + tags, _, err := language.ParseAcceptLanguage("de-DE,de;q=0.9,en;q=0.8") if err != nil { fmt.Println(err) return } - fmt.Println(tag) + fmt.Println(tags) }