CVE-2026-105216
Beschrijving NL
go-micro voor 6.0.0 bevat een onjuist beveiligingslek voor certificaatvalidatie waarmee netwerkaanvallers zich kunnen voordoen als services omdat de gedeelde TLS-helper InsecureSkipVerify standaard op true heeft ingesteld. Man-in-the-middle-aanvallers kunnen elk certificaat presenteren om gRPC-transport, HTTP- en RabbitMQ-broker en consul- of etcd-registerverkeer te onderscheppen of te wijzigen, inclusief authenticatietokens en inloggegevens.
Origineel (Engels) tonen
go-micro before 6.0.0 contains an improper certificate validation vulnerability that allows network attackers to impersonate services because the shared TLS helper sets InsecureSkipVerify to true by default. Man-in-the-middle attackers can present any certificate to intercept or modify gRPC transport, HTTP and RabbitMQ broker, and Consul or etcd registry traffic, including authentication tokens and credentials.