Veille sécuritéBackend & données
P4Moyenne
Le déchiffrement de données non fiables avec les modes CBC-HMAC concernés peut provoquer un panic et interrompre l’application. L’avis indique comme affectés go-jose/v4 avant 4.1.5 et go-jose/v3 jusqu’à 3.0.5 inclus; aucun correctif v3 n’est précisé dans les données fournies.
Go
IdentifiantCVE-2026-116585
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifgithub.com/go-jose/go-jose/v4 4.1.5
Source : GHSA-4w3g-jfj2-cw2q — Go JOSE: Panic during CBC-HMAC processing
Analyse technique
Une validation insuffisante de paramètres peut conduire à indexer un tampon vide lors du traitement de `A128CBC-HS256`, `A192CBC-HS384` ou `A256CBC-HS512`.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-28T21:14:00Z et mis à jour à 21:14:01Z, dans la période demandée; la publication est retenue comme date de l’événement.
ImpactUn attaquant peut provoquer un déni de service si l’application déchiffre des textes chiffrés non fiables avec les algorithmes concernés.
Versions affectéesgithub.com/go-jose/go-jose/v4 < 4.1.5; github.com/go-jose/go-jose/v3 <= 3.0.5
Version corrigéegithub.com/go-jose/go-jose/v4 4.1.5
ContournementSi les modes CBC-HMAC ne sont pas nécessaires, les exclure des algorithmes de chiffrement autorisés lors de l’appel aux fonctions de parsing indiquées par l’avis.
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,26% · percentile 18,3%
Publication2026-10-28T21:14:00Z
Mise à jour2026-10-28T21:14:01Z
Action recommandée
Mettre à niveau go-jose/v4 vers 4.1.5; éviter les modes CBC-HMAC concernés si le correctif ou une version corrigée n’est pas disponible pour la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).