chai2010/webp v1.1.1 中包含 libwebp 1.0.2 (CVE-2023-4863)

go.mod pins GitHub.com/chai2010/webp v1.1.1, 它编译了从捆绑的 C 语言源代码中获得的 libwebp 1.0.2。这之前就有了修复 CVE-2023-4863 的 1.3.2 版本，该版本修复了 WebP 无损解码器中的堆溢出问题（BuildHuffmanTable）。 utils/image.go NewImage(url) 会在调用者提供的 URL 上执行 http.Get(url)，然后调用 image.Decode(res.Body)。 chai2010/webp 的 init() 会通过 image.RegisterFormat 来注册 WebP 解码器，因此无论 URL 扩展名如何，响应的魔术字节为 RIFF.WEBP 都会被发送到捆绑的 libwebp。通过这种方式获取的伪造的无损 WebP 会传递给服务器上的解码器。