CVE-2026-49329

openshift/oauth-server bileşeninde bir açık bulundu. OAuth giriş ve hata sayfası uç noktaları, kimlik doğrulanmamış Accept-Language başlığını girdi doğrulaması yapmadan golang.org/x/text/language.ParseAcceptLanguage() fonksiyonuna iletmektedir. CVE-2022-32149 hafifletmesinin bir baypas yöntemi mevcuttur: üst akış koruması yalnızca '-' karakterlerini sayarken, dahili BCP 47 tarayıcısı koruma kontrolünden sonra '_' karakterini '-' olarak takma adlandırmaktadır. Kimlik doğrulanmamış bir saldırgan, '_' ayırıcılarını kullanan özel hazırlanmış bir Accept-Language başlığı göndererek kuadratik zamanlı ayrıştırmayı tetikleyebilir, aşırı CPU tüketimine neden olabilir ve tüm küme kullanıcılarının kimlik doğrulamasını engelleyerek hizmet reddine yol açabilir.