« Volver al listado

CVE-2026-94448

Estado: Pendiente de análisisSin puntuar—

Cuando un literal de plantilla de JavaScript contiene expresiones consecutivas, el estado de seguimiento del contexto no se restablecía correctamente al entrar en una nueva expresión. Ahora garantizamos que las entradas de expresiones de literales de plantilla restablezcan correctamente las variables de contexto para que todos los literales de expresiones regulares posteriores se reconozcan y escapen con precisión.

Traducción automática del texto original de NVD (en inglés).

CVSS

NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-94448",
  "cveTags": [],
  "metrics": {},
  "affected": [
    {
      "source": "security@golang.org",
      "affectedData": [
        {
          "vendor": "Go standard library",
          "product": "html/template",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "lessThan": "1.26.9",
              "versionType": "semver"
            },
            {
              "status": "affected",
              "version": "1.27.0-0",
              "lessThan": "1.27.2",
              "versionType": "semver"
            }
          ],
          "packageName": "html/template",
          "collectionURL": "https://pkg.go.dev",
          "defaultStatus": "unaffected",
          "programRoutines": [
            {
              "name": "tJSTmpl"
            },
            {
              "name": "Template.Execute"
            },
            {
              "name": "Template.ExecuteTemplate"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T23:17:05.300",
  "references": [
    {
      "url": "https://go.dev/cl/839866",
      "source": "security@golang.org"
    },
    {
      "url": "https://go.dev/issue/81821",
      "source": "security@golang.org"
    },
    {
      "url": "https://groups.google.com/g/golang-announce/c/U2fTuyDJznI",
      "source": "security@golang.org"
    },
    {
      "url": "https://pkg.go.dev/vuln/GO-2026-6599",
      "source": "security@golang.org"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "descriptions": [
    {
      "lang": "en",
      "value": "When a JavaScript template literal contains consecutive expressions, the context tracking state was not properly reset upon entering a new expression. We now ensure that template-literal expression entries correctly reset context variables so all subsequent regular expression literals are accurately recognized and escaped."
    }
  ],
  "lastModified": "2026-10-09T16:35:35.900",
  "sourceIdentifier": "security@golang.org"
}