CVE-2025-68156

{"id": "CVE-2025-68156", "cveTags": [], "metrics": {"ssvcV203": [{"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "ssvcData": {"id": "CVE-2025-68156", "role": "CISA Coordinator", "options": [{"exploitation": "none"}, {"automatable": "yes"}, {"technicalImpact": "partial"}], "version": "2.0.3", "timestamp": "2025-12-16T19:58:48.969218Z"}}], "cvssMetricV31": [{"type": "Secondary", "source": "security-advisories@github.com", "cvssData": {"scope": "UNCHANGED", "version": "3.1", "baseScore": 7.5, "attackVector": "NETWORK", "baseSeverity": "HIGH", "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H", "integrityImpact": "NONE", "userInteraction": "NONE", "attackComplexity": "LOW", "availabilityImpact": "HIGH", "privilegesRequired": "NONE", "confidentialityImpact": "NONE"}, "impactScore": 3.6, "exploitabilityScore": 3.9}]}, "affected": [{"source": "security-advisories@github.com", "affectedData": [{"vendor": "expr-lang", "product": "expr", "versions": [{"status": "affected", "version": "< 1.17.7"}]}]}], "published": "2025-12-16T19:16:00.567", "references": [{"url": "https://github.com/expr-lang/expr/pull/870", "tags": ["Issue Tracking", "Patch"], "source": "security-advisories@github.com"}, {"url": "https://github.com/expr-lang/expr/security/advisories/GHSA-cfpf-hrx2-8rv6", "tags": ["Mitigation", "Patch", "Vendor Advisory"], "source": "security-advisories@github.com"}], "vulnStatus": "Analyzed", "weaknesses": [{"type": "Secondary", "source": "security-advisories@github.com", "description": [{"lang": "en", "value": "CWE-770"}]}], "descriptions": [{"lang": "en", "value": "Expr is an expression language and expression evaluation for Go. Prior to version 1.17.7, several builtin functions in Expr, including `flatten`, `min`, `max`, `mean`, and `median`, perform recursive traversal over user-provided data structures without enforcing a maximum recursion depth. If the evaluation environment contains deeply nested or cyclic data structures, these functions may recurse indefinitely until exceed the Go runtime stack limit. This results in a stack overflow panic, causing the host application to crash. While exploitability depends on whether an attacker can influence or inject cyclic or pathologically deep data into the\nevaluation environment, this behavior represents a denial-of-service (DoS) risk and affects overall library robustness. Instead of returning a recoverable evaluation error, the process may terminate unexpectedly. In affected versions, evaluation of expressions that invoke certain builtin functions on untrusted or insufficiently validated data structures can lead to a process-level crash due to stack exhaustion. This issue is most relevant in scenarios where Expr is used to evaluate expressions against externally supplied or dynamically constructed environments; cyclic references (directly or indirectly) can be introduced into arrays, maps, or structs; and there are no application-level safeguards preventing deeply nested input data. In typical use cases with controlled, acyclic data, the issue may not manifest. However, when present, the resulting panic can be used to reliably crash the application, constituting a denial of service. The issue has been fixed in the v1.17.7 versions of Expr. The patch introduces a maximum recursion depth limit for affected builtin functions. When this limit is exceeded, evaluation aborts gracefully and returns a descriptive error instead of panicking. Additionally, the maximum depth can be customized by users via `builtin.MaxDepth`, allowing applications with legitimate deep structures to raise the limit in a controlled manner. Users are strongly encouraged to upgrade to the patched release, which includes both the recursion guard and comprehensive test coverage to prevent regressions. For users who cannot immediately upgrade, some mitigations are recommended. Ensure that evaluation environments cannot contain cyclic references, validate or sanitize externally supplied data structures before passing them to Expr, and/or wrap expression evaluation with panic recovery to prevent a full process crash (as a last-resort defensive measure). These workarounds reduce risk but do not fully eliminate the issue without the patch."}, {"lang": "es", "value": "Expr es un lenguaje de expresiones y evaluaci\u00f3n de expresiones para Go. Antes de la versi\u00f3n 1.17.7, varias funciones integradas en Expr, incluyendo 'flatten', 'min', 'max', 'mean' y 'median', realizan un recorrido recursivo sobre estructuras de datos proporcionadas por el usuario sin imponer una profundidad m\u00e1xima de recursi\u00f3n. Si el entorno de evaluaci\u00f3n contiene estructuras de datos profundamente anidadas o c\u00edclicas, estas funciones pueden recursar indefinidamente hasta exceder el l\u00edmite de pila del tiempo de ejecuci\u00f3n de Go. Esto resulta en un p\u00e1nico por desbordamiento de pila, causando que la aplicaci\u00f3n anfitriona falle. Aunque la explotabilidad depende de si un atacante puede influir o inyectar datos c\u00edclicos o patol\u00f3gicamente profundos en el entorno de evaluaci\u00f3n, este comportamiento representa un riesgo de denegaci\u00f3n de servicio (DoS) y afecta la robustez general de la biblioteca. En lugar de devolver un error de evaluaci\u00f3n recuperable, el proceso puede terminar inesperadamente. En las versiones afectadas, la evaluaci\u00f3n de expresiones que invocan ciertas funciones integradas en estructuras de datos no confiables o insuficientemente validadas puede llevar a un fallo a nivel de proceso debido al agotamiento de la pila. Este problema es m\u00e1s relevante en escenarios donde Expr se utiliza para evaluar expresiones contra entornos suministrados externamente o construidos din\u00e1micamente; se pueden introducir referencias c\u00edclicas (directa o indirectamente) en arrays, mapas o structs; y no existen salvaguardas a nivel de aplicaci\u00f3n que impidan datos de entrada profundamente anidados. En casos de uso t\u00edpicos con datos controlados y ac\u00edclicos, el problema puede no manifestarse. Sin embargo, cuando est\u00e1 presente, el p\u00e1nico resultante puede usarse para bloquear la aplicaci\u00f3n de manera confiable, constituyendo una denegaci\u00f3n de servicio. El problema ha sido solucionado en las versiones v1.17.7 de Expr. El parche introduce un l\u00edmite de profundidad m\u00e1xima de recursi\u00f3n para las funciones integradas afectadas. Cuando se excede este l\u00edmite, la evaluaci\u00f3n se aborta de forma controlada y devuelve un error descriptivo en lugar de entrar en p\u00e1nico. Adem\u00e1s, la profundidad m\u00e1xima puede ser personalizada por los usuarios a trav\u00e9s de 'builtin.MaxDepth', permitiendo que las aplicaciones con estructuras profundas leg\u00edtimas aumenten el l\u00edmite de manera controlada. Se recomienda encarecidamente a los usuarios que actualicen a la versi\u00f3n parcheada, que incluye tanto la protecci\u00f3n de recursi\u00f3n como una cobertura de pruebas exhaustiva para prevenir regresiones. Para los usuarios que no pueden actualizar inmediatamente, se recomiendan algunas mitigaciones. Aseg\u00farese de que los entornos de evaluaci\u00f3n no puedan contener referencias c\u00edclicas, valide o sanee las estructuras de datos suministradas externamente antes de pasarlas a Expr, y/o envuelva la evaluaci\u00f3n de expresiones con recuperaci\u00f3n de p\u00e1nico para evitar un fallo completo del proceso (como medida defensiva de \u00faltimo recurso). Estas soluciones temporales reducen el riesgo pero no eliminan completamente el problema sin el parche."}], "lastModified": "2026-10-13T11:10:00.203", "configurations": [{"nodes": [{"negate": false, "cpeMatch": [{"criteria": "cpe:2.3:a:expr-lang:expr:*:*:*:*:*:go:*:*", "vulnerable": true, "matchCriteriaId": "3C43BFC7-95C4-4C2B-B828-74D733323BCA", "versionEndExcluding": "1.17.7"}], "operator": "OR"}]}], "sourceIdentifier": "security-advisories@github.com"}