Daptin — amplification CPU via Accept-Language

Veille sécuritéBackend & données

P3Élevée

Daptin est vulnérable à une amplification de la charge CPU lorsqu’un en-tête `Accept-Language` malformé avec de nombreux séparateurs `_` est analysé par le middleware de langue. L’avis publié le 2026-10-29 concerne les versions jusqu’à 0.12.15 inclus ; aucun correctif n’est indiqué dans les éléments vérifiés.

IdentifiantCVE-2026-62160

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GitHub Advisory GHSA-rhj7-vh3v-mcq6

Analyse technique

Un en-tête HTTP contrôlé par un utilisateur non authentifié peut provoquer un traitement coûteux dans `golang.org/x/text/language.ParseAcceptLanguage`, exposant le serveur à un déni de service par consommation CPU.

Impact, versions et correctif

Événement datéAvis GitHub publié le 2026-10-29T16:33:09Z, soit 2026-10-29T18:33:09+02:00, dans la période demandée. L’horodatage de publication, et non une simple mise à jour administrative, est retenu.

ImpactDéni de service par consommation CPU, à distance et sans authentification selon l’avis.

Versions affectéesgithub.com/daptin/daptin <= 0.12.15

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-29T16:33:09Z

Mise à jour2026-10-29T16:33:12Z

Action recommandée

Mettre à niveau dès qu’une version corrigée est publiée ; dans l’intervalle, limiter la taille et la forme des en-têtes `Accept-Language` à l’entrée.

Sources

GitHub Advisory GHSA-rhj7-vh3v-mcq6

Priorisation DFS : P3 · 1 source(s).