یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-94445 در محیط Go Playground شناسایی شده است که می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution یا RCE) در سیستم میزبان شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی از ترکیب دو مشکل مجزا در مدیریت محیط اجرا نشأت می‌گیرد:
- فرار از محیط ایزوله (Sandbox Escape): یک فایل
txtarمخرب می‌تواند از محیط اجرای پیش‌بینی شده فرار کرده و عملیات نوشتن دلخواه (Arbitrary Write) را روی سیستم فایل مورد اعتماد میزبان (Playground Host) اجرا کند. - عدم محدودسازی محیط اجرای go vet: یکی از سه مسیر ممکن برای فراخوانی دستور
go vetدر میزبان، محیط اجرا را به درستی محدود نمی‌کرد. این نقص به یک پروسه Go اجازه می‌داد تا فایل‌های پیکربندی محیط (Environment Configuration) را که در مسیر$HOMEمیزبان قرار دارند، بخواند.
سناریوی حمله
در یک حمله ترکیبی، مهاجم می‌تواند با طراحی یک فایل go env خاص و فراخوانی دستور go vet، دسترسی‌های لازم برای اجرای دستورات دلخواه را به دست آورده و در نهایت منجر به RCE در سطح سیستم میزبان شود.
