Все бюллетени/sisyphus/ALT-PU-2026-9995-1
ALT-PU-2026-9995-1

Обновление пакета portainer в ветке sisyphus

Версия2.39.4-alt1
Задание#422655
Опубликовано2026-06-25
Макс. серьёзностьHIGH
Серьёзность:

Закрытые проблемы (24)

BDU:2026-07949
HIGH7.5

Уязвимость функций net.Dial() и net.LookupPort() языка программирования Go операционных систем Windows, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-06-07
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2026-07950
HIGH7.5

Уязвимость функций LookupCNAME() языка программирования Go, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-06-07
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2026-07953
HIGH7.5

Уязвимость функций ParseAddress(), ParseAddressList() и ParseDate() языка программирования Go, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-06-07
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2026-07954
MEDIUM6.1

Уязвимость языка программирования Go, связанная с непринятием мер по нейтрализации специальных элементов, позволяющая нарушителю проводить межсайтовые сценарные атаки

Опубликовано: 2026-06-07
CVSS 3.xСРЕДНЯЯ 6.1
CVSS:3.x/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS 2.0СРЕДНЯЯ 6.4
CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:P/A:N
Ссылки
BDU:2026-07955
HIGH7.5

Уязвимость функции consumePhrase() языка программирования Go, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-06-07
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2026-07956
MEDIUM6.1

Уязвимость языка программирования Go, связанная с неправильным кодированием или экранированием выходных данны, позволяющая нарушителю получить доступ на чтение и изменение данных

Опубликовано: 2026-06-07
CVSS 3.xСРЕДНЯЯ 6.1
CVSS:3.x/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS 2.0СРЕДНЯЯ 6.4
CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:P/A:N
Ссылки
BDU:2026-08060
MEDIUM5.3

Уязвимость встроенного обратного прокси-сервера языка программирования Go, позволяющая нарушителю осуществить SSRF-атаку

Опубликовано: 2026-06-09
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CVSS 2.0СРЕДНЯЯ 5.0
CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:N/A:N
Ссылки
BDU:2026-08587
HIGH7.5

Уязвимость реализации протокола HTTP/2 языка программирования Go, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2026-06-22
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
CVE-2026-27145
MEDIUM6.5

(*x509.Certificate).VerifyHostname previously called matchHostnames in a loop over all DNS Subject Alternative Name (SAN) entries. This caused strings.Split(host, ".") to execute repeatedly on the same input hostname. With a large DNS SAN list, verification costs scaled quadratically based on the number of SAN entries multiplied by the hostname's label count. Because x509.Verify validates hostnames before building the certificate chain, this overhead occurred even for untrusted certificates.

Опубликовано: 2026-06-02Изменено: 2026-06-17
CVSS 3.xСРЕДНЯЯ 6.5
CVSS:3.x/CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H
Ссылки
CVE-2026-33814
HIGH7.5

When processing HTTP/2 SETTINGS frames, transport will enter an infinite loop of writing CONTINUATION frames if it receives a SETTINGS_MAX_FRAME_SIZE with a value of 0.

Опубликовано: 2026-05-07Изменено: 2026-06-17
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Ссылки
CVE-2026-39823
MEDIUM6.1

CVE-2026-27142 fixed a vulnerability in which URLs were not correctly escaped inside of a tag's attribute. If the URL content were to insert ASCII whitespaces around the '=' rune inside of the attribute, the escaper would fail to similarly escape it, leading to XSS.

Опубликовано: 2026-05-07Изменено: 2026-06-17
CVSS 3.xСРЕДНЯЯ 6.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Ссылки
CVE-2026-39825
MEDIUM5.3

ReverseProxy can forward queries containing parameters not visible to Rewrite functions. When used with a Rewrite function, or a Director function which parses query parameters, ReverseProxy sanitizes the forwarded request to remove query parameters which are not parsed by url.ParseQuery. ReverseProxy does not take ParseQuery's limit on the total number of query parameters (controlled by GODEBUG=urlmaxqueryparams=N) into account. This can permit ReverseProxy to forward a request containing a query parameter that is not visible to the Rewrite function. For example, the query "a1=x&a2=x&...&a10000=x&hidden=y" can forward the parameter "hidden=y" while hiding it from the proxy's Rewrite function.

Опубликовано: 2026-05-07Изменено: 2026-06-17
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Ссылки
CVE-2026-39826
MEDIUM6.1

If a trusted template author were to write a