CVE-2026-62160

Daptin to bezgłowy CMS GraphQL/JSON-API. Przed wersją 0.12.26 globalne oprogramowanie `LanguageMiddleware` w `server/language.go` przekazuje surowy nagłówek `Accept-Language` z `LanguageMiddlewareFunc` przez `GetLanguagePreference` do `golang.org/x/text/language.ParseAcceptLanguage` bez filtra rozmiaru i kształtu. Strażnik CVE-2022-32149 liczy łączniki, ale nie podkreślenia, mimo że wewnętrzny analizator składni normalizuje podkreślenia do łączników. Długie listy podtagów języka oddzielonych podkreśleniami, dłuższe niż osiem znaków, omijają strażnika. Te podtagi nie przechodzą kontroli długości `len <= 8` w `golang.org/x/text/internal/language/parse.go`, powodując powtarzające się operacje `gobble` w celu przeniesienia całego pozostałego bufora przez `runtime.memmove`. W przypadku wielu nieprawidłowych podtagów ten powtarzający się ruch bufora wymaga pracy kwadratowej. Nieuwierzytelnione żądania kierowane do publicznej strony docelowej lub interfejsu `/api` mogą zużywać nieproporcjonalnie dużo procesora, przy czym nagłówek 256 KiB powoduje już przetwarzanie w sekundach, a domyślny limit nagłówka 1 MiB pozwala na wprowadzenie większych danych wejściowych. `resource.CheckErr` rejestruje również cały nieprawidłowy nagłówek, zwiększając koszty, podczas gdy normalne pomyślne odpowiedzi HTTP mogą ukryć ruch związany z odmową usługi. Powtarzające się żądania mogą przeciążyć procesor serwera. Ten problem został rozwiązany w wersji 0.12.26.