CVE-2026-100350 in kin-openapi
الملخص
بحسب VulDB • 15/10/2026
kin-openapi هو مشروع بلغة Go لمعالجة ملفات OpenAPI. من الإصدار 0.145.0 حتى 0.146.0، تقوم openapi3filter باستدعاء regexp.MustCompile بشكل متكرر لنفس التعبير النمطي (regular expression) الخاص باسم المعلمة داخل حلقة per-query-key في urlValuesDecoder.DecodeObject المستخدمة لفك تشفير معلمة استعلام من نوع deepObject. يمكن لعميل عندي غير مُصادق عليه إرسال طلب إلى نقطة نهاية متأثرة تحتوي على العديد من مفاتيح الاستعلام غير ذات الصلة، مما يتسبب في قيام ValidateRequest بإجراء عمليات حسابية وتخصيص موارد تتناسب مع عدد المفاتيح التي يسيطر عليها المهاجم لكل معلمة deepObject. التعبير النمطي نفسه ثابت ولا يمثل هذا هجوماً لإنكار الخدمة عبر التعبيرات النمطية (ReDoS)؛ بل إن استهلاك الموارد ناتج عن إعادة التجميع غير المتغيرة للحلقة (loop-invariant recompilation). تم إصلاح هذه المشكلة في الإصدار 0.146.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.