Высокий

PoC

Опубликована

CVE-2025-11065

Github.com/go-viper/mapstructure/v2: go-viper's mapstructure may leak sensitive information in logs in github.com/go-viper/mapstructure

Публикация: 26.01.2026·Обновлена: 05.11.2026, 17:47·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

A flaw was found in github.com/go-viper/mapstructure/v2, in the field processing component using mapstructure.WeakDecode. This vulnerability allows information disclosure through detailed error messages that may leak sensitive input values via malformed user-supplied data processed in security-critical contexts.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

Mitigation for this issue is either not available or the currently available options do not meet the Red Hat Product Security criteria comprising ease of use and deployment, applicability to widespread installation base or stability.

CVE Record: redhat ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

{
  "status": "affected",
  "version": "0",
  "lessThan": "2.4.0",
  "versionType": "semver"
}

Red Hat / OpenShift Pipelines

cpe:/a:redhat:openshift_pipelines:1

Red Hat / Red Hat Advanced Cluster Management for Kubernetes 2

cpe:/a:redhat:acm:2

Red Hat / Red Hat Advanced Cluster Security 4

cpe:/a:redhat:advanced_cluster_security:4

Red Hat / Red Hat Certification for Red Hat Enterprise Linux 8

cpe:/a:redhat:certifications:1::el8

Red Hat / Red Hat Certification Program for Red Hat Enterprise Linux 9

cpe:/a:redhat:certifications:9

Red Hat / Red Hat Enterprise Linux 10

cpe:/a:redhat:enterprise_linux:10

Red Hat / Red Hat Enterprise Linux 9

cpe:/a:redhat:enterprise_linux:9

Red Hat / Red Hat OpenShift AI (RHOAI)

cpe:/a:redhat:openshift_ai

Red Hat / Red Hat OpenShift Container Platform 4

cpe:/a:redhat:openshift:4

Red Hat / Red Hat OpenShift Container Platform 4

cpe:/a:redhat:openshift:4

Red Hat / Red Hat OpenShift Dev Spaces

cpe:/a:redhat:openshift_devspaces:3

Red Hat / Red Hat OpenShift Dev Spaces

cpe:/a:redhat:openshift_devspaces:3

Red Hat / Red Hat OpenShift distributed tracing 3

cpe:/a:redhat:openshift_distributed_tracing:3

Red Hat / Red Hat OpenShift GitOps

cpe:/a:redhat:openshift_gitops:1

Red Hat / Red Hat Trusted Application Pipeline

cpe:/a:redhat:trusted_application_pipeline:1

Red Hat / Red Hat Trusted Artifact Signer

cpe:/a:redhat:trusted_artifact_signer:1

Red Hat / Zero Trust Workload Identity Manager - Tech Preview

cpe:/a:redhat:zero_trust_workload_identity_manager:0

CVSS: оценки и векторы

CVSS 3.1 · cve5.3

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакивысокая

PR · Привилегиине нужны

UI · Участие пользователятребуется

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

Классы CWE

CWE-209 · Раскрытие конфиденциальных сведений в сообщениях об ошибках

Источники и ссылки

Материал · access.redhat.com · cve Материал · bugzilla.redhat.com · cve Материал · github.com · cve PoC / эксплойт · github.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:09:49.682392+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-11-05T15:00:50.632428+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-11-05T15:00:50.632428+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-11-05T15:00:50.632428+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:09:49.682392+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-11-05T15:00:50.632428+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 18:00
Данные обновлены05.11.2026, 00:09
Данные обновлены04.11.2026, 00:08
Данные обновлены03.11.2026, 00:08
Данные обновлены02.11.2026, 00:07
Данные обновлены31.10.2026, 11:54
Данные обновлены30.10.2026, 13:50
Данные обновлены29.10.2026, 10:48
Появилась ссылка на PoC28.10.2026, 19:42

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2024-9355 Golang-fips: golang fips zeroed buffer · Red Hat / Red Hat Enterprise Linux 7 Extended Lifecycle Support	Средний	6.5	0,3 %		01.10.2024
CVE-2024-11831 Npm-serialize-javascript: cross-site scripting (xss) in serialize-javascript · Red Hat / Red Hat Advanced Cluster Security 4.4	Средний	5.4	1,12 %		10.02.2025
CVE-2024-1394 Golang-fips/openssl: memory leaks in code encrypting and decrypting rsa payloads Red Hat / Red Hat Ansible Automation Platform 2.4 for RHEL 8 · Red Hat / Red Hat Ansible Automation Platform 2.4 for RHEL 9	Высокий	7.5	1,53 %		21.03.2024
CVE-2026-41242 protobufjs has an arbitrary code execution issue protobufjs / protobuf.js · Red Hat / Red Hat Developer Hub 1.8	Критический	9.4	0,77 %	PoCПатч	18.04.2026
CVE-2026-12151 undici WebSocket client vulnerable to denial of service via fragment count bypass undici / undici · Red Hat / Cryostat 4 on RHEL 9	Высокий	7.5	0,79 %	Патч	17.06.2026