xxhash-rust: Safe xxh3 custom-secret API accepts too-short secret in release — GHSA-6G2R-675J-HX59

GitHub · GitHub · GHSA-6G2R-675J-HX59

ID
GHSA-6G2R-675J-HX59

Datum
2026-10-02

Quelle
GitHub

Vendor
GitHub

Risiko
niedrig

CVSS
2.3

Zusammenfassung

I have a minimized safe Rust witness for xxhash-rust 0.8.15. Safe public route: xxhash_rust::xxh3::xxh3_64_with_secret(&[0x41], &[]) The caller-side harness contains no unsafe code. Under release execution, the internal minimum custom-secret length predicate is enforced only by debug_assert!. Release-Miri reports construction of a fixed-width reference beyond the empty secret allocation. Observed diagnostic:…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-10-02

Risikokontext

Gemeldeter Schweregrad oder Risikowert: niedrig.
Gemeldeter CVSS-Wert: 2.3 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: rust: xxhash-rust.

Produkt

rust: xxhash-rust

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Zur offiziellen Quelle

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-6G2R-675J-HX59
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-10-02
Letzte Quellenaktivität: 2026-10-02
Kuratiert von: hlukh.ch