7.5 Élevée

CVE-2026-78661 Avoid quadratic complexity when coalescing text nodes in html in golang.org/x/net

Description

When coalescing adjacent text nodes in addText and fosterParent, appending to an existing TextNode's Data via string concatenation (n.Data += text) reallocated and copied the accumulated string on every token. Inputs containing many short text runs separated by ignored end tags (such as "a</x>") caused O(n^2) allocations and byte copies. Accumulate coalesced text in per-node byte slices during parsing and materialize Data strings once at the end of parse.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Aucun
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
golang.org/x/net/html 0.62	premières → < 0.62.0	0.62.0

Références

go.dev go.dev
go.dev go.dev
groups.google.com groups.google.com
pkg.go.dev pkg.go.dev

Chronologie

Publiée 27 octobre 2026
Dernière modification 4 novembre 2026

Les 12 CVE de golang.org/x/net/html →

CVE-2026-97045 Check all ancestor namespace transitions when rendering raw text in html in golang.org/x/net 6.1 Moyenne CVE-2026-27136 Parsing arbitrary HTML which is then rendered using Render can result in an unexpected HTML tree 6.1 Moyenne CVE-2026-42506 Parsing arbitrary HTML which is then rendered using Render can result in an unexpected HTML tree 6.1 Moyenne CVE-2026-42502 Parsing arbitrary HTML which is then rendered using Render can result in an unexpected HTML tree 6.1 Moyenne

Suivre cette CVE