Go プロジェクトによる報告：

HandlerがContent-Typeヘッダーを明示的に設定しない場合、両方のCGI実装はデフォルトで「text/html」になります。攻撃者がサーバーに自分の制御下でコンテンツを生成させることができる場合（ユーザーデータまたはアップロードされた画像ファイルを含むJSONなど）、サーバーはこれを「text/html」として誤って返す可能性があります。被害者がそのようなページにアクセスすると、サーバーオリジンのコンテキストで攻撃者のコードが実行される可能性があります。攻撃者がサーバーに自分の制御下でコンテンツを生成させることができる場合（ユーザーデータまたはアップロードされた画像ファイルを含むJSONなど）、サーバーはこれを「text/html」として誤って返す可能性があります。被害者がそのようなページにアクセスすると、サーバーオリジンのコンテキストで攻撃者のコードが実行される可能性があります。

検出

FreeBSD：go -- net/http/cgi、net/http/fcgi: Content-Typeが指定されない場合のXSS（XSS）（67b050ae-ec82-11ea-9071-10c37b4ac2ea）

medium Nessus プラグイン ID 140135

バージョン 1.4