CVE-2026-27142
CVE-2026-27142 · URLs in meta content attribute actions are not escaped in html/template
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Actions which insert URLs into the content attribute of HTML meta tags are not escaped. This can allow XSS if the meta tag also has an http-equiv attribute with the value "refresh". A new GODEBUG setting has been added, htmlmetacontenturlescape, which can be used to disable escaping URLs in actions in the meta content attribute which follow "url=" by setting htmlmetacontenturlescape=0.
CVSS 6.1 · Mittel · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
html/template
- Softwareversionen
- ≥ 0, < 1.25.8: Betroffen (semver)
- ≥ 1.26.0-0, < 1.26.1: Betroffen (semver)
Auf 1.25.8 aktualisieren; Auf 1.26.1 aktualisieren
golang-1.19 Debian:12
- Softwareversionen
- 1.19.10-1
- 1.19.10-2
- 1.19.11-1
- 1.19.12-1
- 1.19.12-2
- 1.19.12-2~bpo11+1
- 1.19.12-2~bpo12+1
- 1.19.13-1
- 1.19.13-1~bpo11+1
- 1.19.13-1~bpo12+1
- 1.19.8-2
- 1.19.9-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.24 Debian:13
- Softwareversionen
- 1.24.12-1
- 1.24.13-1
- 1.24.13-2
- 1.24.4-1
- 1.24.4-2
- 1.24.4-3
- 1.24.4-4
- 1.24.7-1
- 1.24.8-1
- 1.24.9-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.26 Debian:14
- Softwareversionen
- 1.26.0-1
- 1.26~rc2-1
- 1.26~rc3-1
- 1.26~rc3-2
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.26.1-1
Auf 1.26.1-1 aktualisieren
golang-1.24 Ubuntu:22.04:LTS
- Softwareversionen
- 1.24.4-1ubuntu1~22.04.1
- 1.24.4-1ubuntu1~22.04.2
- 1.24.13-2~22.04.1
- 1.24.13-2~22.04.2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.25 Ubuntu:22.04:LTS
- Softwareversionen
- 1.25.14-1~ubuntu0.22.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.26 Ubuntu:22.04:LTS
- Softwareversionen
- 1.26.8-1~ubuntu0.22.04.2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.24 Ubuntu:24.04:LTS
- Softwareversionen
- 1.24.4-1ubuntu1~24.04.1
- 1.24.4-1ubuntu1~24.04.2
- 1.24.13-2~24.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.25 Ubuntu:24.04:LTS
- Softwareversionen
- 1.25.14-1~ubuntu0.24.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.26 Ubuntu:24.04:LTS
- Softwareversionen
- 1.26.8-1~ubuntu0.24.04.2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.24 Ubuntu:25.10
- Softwareversionen
- 1.24.2-1
- 1.24.2-2
- 1.24.4-1
- 1.24.4-1ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.25 Ubuntu:25.10
- Softwareversionen
- 1.25.0-0ubuntu1
- 1.25.7-2~25.10.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.26 Ubuntu:26.10
- Softwareversionen
- 1.26.0-1
- 1.26.2-3
- 1.26.4-1
- 1.26.5-1
- 1.26.6-2
- 1.26.7-1
- 1.26.8-1
- 1.26.8-2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.24 Ubuntu:26.04:LTS
- Softwareversionen
- 1.24.4-1ubuntu1
- 1.24.9-1
- 1.24.13-2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.25 Ubuntu:26.04:LTS
- Softwareversionen
- 1.25.0-0ubuntu1
- 1.25.7-2
- 1.25.14-1~ubuntu0.26.04.1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
golang-1.26 Ubuntu:26.04:LTS
- Softwareversionen
- 1.26~rc3-2
- 1.26.0-1
- 1.26.8-1~ubuntu0.26.04.2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht