PT-2026-30757 · Unknown · Go-Ipld-Prime

Yuliyu123 · Publicado 2026-04-06 · Atualizado 2026-04-14 · CVE-2026-35480

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.2

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions go-ipld-prime versões anteriores a 0.22.0

Description O decodificador DAG-CBOR do go-ipld-prime não limita o tamanho das pré-alocações para mapas e listas com base nos cabeçalhos CBOR, o que pode levar à alocação excessiva de memória a partir de cargas úteis pequenas. Estruturas aninhadas podem exacerbar esse problema, causando alocações superiores a 9GB a partir de cargas úteis com menos de 100 bytes. O decodificador usa tamanhos de coleção dos cabeçalhos CBOR como dicas de pré-alocação para mapas e listas Go, sem considerar o custo em seu orçamento de alocação.

Recommendations Atualize para a versão 0.22.0 ou posterior.

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2026-35480

GHSA-378J-3JFJ-8R9F

OPENSUSE-SU-2026:10543-1

Produtos afetados

Go-Ipld-Prime

Referências · 11

• https://github.com/ipld/go-ipld-prime · Nota
• https://github.com/ipld/go-ipld-prime/security/advisories/GHSA-378j-3jfj-8r9f · Aviso do Fabricante
• https://github.com/ipld/go-ipld-prime/commit/e43bf4a27055fe8d895671a731ee5041e2d983a9 · Nota
• https://github.com/ipld/go-ipld-prime/releases/tag/v0.22.0 · Nota
• https://suse.com/security/cve/CVE-2026-35480 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2026:10543-1 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2041603232326095291 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-58181 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-35480 · Nota de Segurança
• https://suse.com/security/cve/CVE-2025-58190 · Nota
• https://osv.dev/vulnerability/GHSA-378j-3jfj-8r9f · Aviso do Fabricante