分享
这是一个创建于 的主题,其中的信息可能已经有所发展或是发生改变。
今早,Go Team 发布了 Go1.12.1 和 Go1.20.8,这是两个小版本,主要设计安全更新。
- cmd/go: go.mod toolchain 指令允许任意执行
这个指令是在 Go 1.21 中引入的,它可以被利用来在模块的根目录下执行脚本和二进制文件,当在模块内部使用 "go" 命令时。这适用于使用 "go" 命令从模块代理下载的模块,以及直接使用 VCS 软件下载的模块。issue:<https://go.dev/issue/62198>。
- html/template: 在 script 上下文中不正确地处理 HTML-like 注释
html/template 包没有正确地处理在 `<script>` 上下文中出现的 HMTL-like `<!–` 和 `–>` 注释标记,也没有正确地处理 hashbang `#!` 注释标记。这可能导致模板解析器不正确地解释 `<script>` 上下文的内容,导致 action 被不正确地转义。这可能被利用来进行 XSS 攻击。issue:<https://go.dev/issue/62196>。
- html/template: 在 script 上下文中不正确地处理特殊标签
html/template 包没有正确地应用处理在 `<script>` 上下文中出现的 `<script`, `<!–` 和 `</script` 的规则。这可能导致模板解析器过早地认为 script 上下文被终止,导致 action 被不正确地转义。这可能被利用来进行 XSS 攻击。issue:<https://go.dev/issue/62197>。
- crypto/tls: 在 QUIC 连接上处理握手后消息时 panic
处理一个不完整的握手后消息会导致 QUIC 连接 panic。issue:<https://go.dev/issue/62266>。
可以按照官方提供的方式更新试用:
Go 语言中文网也为大家提供了最新安装包:<https://studygolang.com/dl>。
有疑问加站长微信联系(非本文作者)
入群交流(和以上内容无关):加入Go大咖交流群,或添加微信:liuxiaoyan-s 备注:入群;或加QQ群:692541889
关注微信2444 次点击
添加一条新回复
(您需要 后才能回复 没有账号 ?)
- 请尽量让自己的回复能够对别人有帮助
- 支持 Markdown 格式, **粗体**、~~删除线~~、
`单行代码` - 支持 @ 本站用户;支持表情(输入 : 提示),见 Emoji cheat sheet
- 图片支持拖拽、截图粘贴等方式上传