CVE-2026-27142
CVE-2026-27142 · URLs in meta content attribute actions are not escaped in html/template
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Actions which insert URLs into the content attribute of HTML meta tags are not escaped. This can allow XSS if the meta tag also has an http-equiv attribute with the value "refresh". A new GODEBUG setting has been added, htmlmetacontenturlescape, which can be used to disable escaping URLs in actions in the meta content attribute which follow "url=" by setting htmlmetacontenturlescape=0.
CVSS 6.1 · Media · EPSS 0,3% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system
Productos y versiones afectados
html/template
- Versiones
- ≥ 0, < 1.25.8: Afectada (semver)
- ≥ 1.26.0-0, < 1.26.1: Afectada (semver)
Actualiza a 1.25.8; Actualiza a 1.26.1
golang-1.19 Debian:12
- Versiones
- 1.19.10-1
- 1.19.10-2
- 1.19.11-1
- 1.19.12-1
- 1.19.12-2
- 1.19.12-2~bpo11+1
- 1.19.12-2~bpo12+1
- 1.19.13-1
- 1.19.13-1~bpo11+1
- 1.19.13-1~bpo12+1
- 1.19.8-2
- 1.19.9-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.24 Debian:13
- Versiones
- 1.24.12-1
- 1.24.13-1
- 1.24.13-2
- 1.24.4-1
- 1.24.4-2
- 1.24.4-3
- 1.24.4-4
- 1.24.7-1
- 1.24.8-1
- 1.24.9-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.26 Debian:14
- Versiones
- 1.26.0-1
- 1.26~rc2-1
- 1.26~rc3-1
- 1.26~rc3-2
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.26.1-1
Actualiza a 1.26.1-1
golang-1.24 Ubuntu:22.04:LTS
- Versiones
- 1.24.4-1ubuntu1~22.04.1
- 1.24.4-1ubuntu1~22.04.2
- 1.24.13-2~22.04.1
- 1.24.13-2~22.04.2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.25 Ubuntu:22.04:LTS
- Versiones
- 1.25.14-1~ubuntu0.22.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.26 Ubuntu:22.04:LTS
- Versiones
- 1.26.8-1~ubuntu0.22.04.2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.24 Ubuntu:24.04:LTS
- Versiones
- 1.24.4-1ubuntu1~24.04.1
- 1.24.4-1ubuntu1~24.04.2
- 1.24.13-2~24.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.25 Ubuntu:24.04:LTS
- Versiones
- 1.25.14-1~ubuntu0.24.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.26 Ubuntu:24.04:LTS
- Versiones
- 1.26.8-1~ubuntu0.24.04.2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.24 Ubuntu:25.10
- Versiones
- 1.24.2-1
- 1.24.2-2
- 1.24.4-1
- 1.24.4-1ubuntu1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.25 Ubuntu:25.10
- Versiones
- 1.25.0-0ubuntu1
- 1.25.7-2~25.10.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.26 Ubuntu:26.10
- Versiones
- 1.26.0-1
- 1.26.2-3
- 1.26.4-1
- 1.26.5-1
- 1.26.6-2
- 1.26.7-1
- 1.26.8-1
- 1.26.8-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.24 Ubuntu:26.04:LTS
- Versiones
- 1.24.4-1ubuntu1
- 1.24.9-1
- 1.24.13-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.25 Ubuntu:26.04:LTS
- Versiones
- 1.25.0-0ubuntu1
- 1.25.7-2
- 1.25.14-1~ubuntu0.26.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
golang-1.26 Ubuntu:26.04:LTS
- Versiones
- 1.26~rc3-2
- 1.26.0-1
- 1.26.8-1~ubuntu0.26.04.2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada