🔄 Вышли Go 1.26.4 и 1.25.11 с исправлениями безопасности — 20 июня 2026 г. в 07:00:03.472
🔄 Вышли Go 1.26.4 и 1.25.11 с исправлениями безопасности Команда Go выпустила минорные версии 1.26.4 и 1.25.11. Это патч-релизы, которые закрывают три уязвимости в стандартной библиотеке. Если вы используете одну из этих веток, обновиться стоит сразу. ➡️ Проблема в пакете mime. Метод WordDecoder.DecodeHeader имел квадратичную сложность, поэтому специально собранный заголовок с множеством некорректных encoded-word мог съесть процессор. Это CVE-2026-42504. ➡️ Уязвимость в net/textproto. Функции пакета подставляли входные данные в текст ошибки без экранирования, а вход часто приходит от внешней стороны, например когда net/http разбирает заголовки ответа сервера. Через это можно было протащить в чужие логи управляющие байты терминала и вводящий в заблуждение текст. Это CVE-2026-42507. ➡️ Фикс в crypto/x509. Метод VerifyHostname вызывал strings.Split по точке в цикле для каждой записи DNS SAN, и при длинном списке имён проверка росла квадратично, причём даже для недоверенных сертификатов. Это CVE-2026-27145. ➡️ Источник