Summary
Vulnerability in Golang (CVE-2026-42503). Successful exploitation can lead to full system takeover.
Original description
The description as published by the source.
gopls by default communicates via pipe. However, -port and -listen flags are supported as means of debugging.
If -listen is given a value without an explicit host (e.g. :8080), or -port is used, gopls will listen on 0.0.0.0.
As a result, users might inadvertently cause gopls to bind 0.0.0.0.
This can allow a malicious party on the same network to execute code arbitrarily via gopls.
Source: NIST National Vulnerability Database NVD
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
goplsはデフォルトでパイプ経由で通信しますが、デバッグ時には-port および-listen フラグがサポートされています。-listen にホストが指定されていない場合（例: :8080）や-port が使用されると、goplsは0.0.0.0で待機することがあります。これにより、ネットワーク上の悪意ある者が任意のコードを実行する可能性があります。
goplsのデバッグ用フラグによる不適切なリッスン割り当て
gopls の -port および -listen フラグ
高いリスク、同一ネットワーク上での任意コード実行の可能性
goplsの設定を見直し、ホストを明示的に指定する
明示的にローカルホスト（例: 127.0.0.1）を指定してリッスンする
goplsのフラグ設定を確認し、不適切な設定を修正する
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Debian DEBIAN-CVE-2026-42503 gopls
- Ubuntu UBUNTU-CVE-2026-42503 gopls
References
- patch security@golang.org
- patch security@golang.org