Më 15 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-v75v-6fpf-gvw8 (CVE-2026-104252) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën vitess.io/vitess të ekosistemit Go. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- vitess.io/vitess (Go) — versionet e prekura:
< 0.23.5; versioni me rregullim:0.23.5 - vitess.io/vitess (Go) — versionet e prekura:
>= 0.24.0, < 0.24.2; versioni me rregullim:0.24.2
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-79 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')), CWE-80 (Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)), CWE-116 (Improper Encoding or Escaping of Output)
- Identifikuesit: GHSA-v75v-6fpf-gvw8, CVE-2026-104252
Përmbledhja zyrtare (në anglisht)
Vitess vttablet /twopcz reflected XSS — From: xylove21 To: [email protected] Subject: [Security Report] Vitess vttablet /twopcz reflected XSS Date: Tue, 24 Jun 2026 14:30:00 +0800 Summary The twopczHandler in go/vt/vttablet/tabletserver/twopcz.go (line 185) reflects the Action and dtid form values directly into the HTML response body via fmt.Fprintln(w, msg) — without HTML escaping . The response is served as text/html; charset=utf-8 , and Vitess's default acl policy is allow-all , so the endpoint is reachable by anyone who can hit the vttablet's HTTP port (default 15999 …
Çfarë duhet të bëni
Nëse projektet tuaja përdorin vitess.io/vitess, përditësojeni sa më shpejt në versionin 0.23.5 ose më të ri.
