Veille sécuritéBackend & données
P4Moyenne
Le parsing de structures JSON profondément imbriquées avec go-jose peut dépasser la limite de pile de Go et faire planter l’application. L’avis indique comme affectés go-jose/v4 avant 4.1.5 et go-jose/v3 jusqu’à 3.0.5 inclus; aucun correctif v3 n’est précisé dans les données fournies.
Go
IdentifiantCVE-2026-116586
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifgithub.com/go-jose/go-jose/v4 4.1.5
Source : GHSA-vvm8-gf78-28g4 — Go JOSE: Panics in JSON parsing
Analyse technique
La vulnérabilité concerne le parsing de JSON non fiable et peut entraîner l’épuisement de la pile, puis l’arrêt du processus.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-28T21:14:08Z et mis à jour à 21:14:09Z, dans la période demandée; la publication est retenue comme date de l’événement.
ImpactUne entrée JSON spécialement construite peut faire planter une application qui la traite avec go-jose.
Versions affectéesgithub.com/go-jose/go-jose/v4 < 4.1.5; github.com/go-jose/go-jose/v3 <= 3.0.5
Version corrigéegithub.com/go-jose/go-jose/v4 4.1.5
ContournementRejeter les entrées volumineuses avant de les analyser.
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,29% · percentile 21,7%
Publication2026-10-28T21:14:08Z
Mise à jour2026-10-28T21:14:09Z
Action recommandée
Mettre à niveau go-jose/v4 vers 4.1.5 et limiter la taille des données JSON analysées; vérifier la disponibilité d’un correctif avant usage de la branche v3.
Sources
Priorisation DFS : P4 · 1 source(s).