CVE-2026-100351 in kin-openapi
الملخص
بحسب VulDB • 15/10/2026
kin-openapi هو مشروع بلغة Go لمعالجة ملفات OpenAPI. من الإصدار 0.144.0 حتى 0.147.0، تقوم دالة ValidationHandler في openapi3filter بالتحقق من عملية تم اختيارها بناءً على URL.Path المُفكّ شفرته (decoded)، بينما يمكن لراوتر downstream مكوّن باستخدام gorilla/mux ومُعدّل بـ UseEncodedPath أن يُوجّه عملية مختلفة مُختارة من URL.RawPath. عندما يتشارك مسار عام دقيق (exact route) ومسار محمي معلمّي (parameterized route) نفس الطريقة HTTP ويتداخلان بعد فك التشفير، يمكن لطلب عن بُعد غير مصادق عليه يحتوي على فاصل مسارات مشفر أن يُتحقق منه كونه عاماً ثم يتم توجيهه إلى المعالج المحمي دون استدعاء دالة المصادقة المُعدّة. معلم المسار القابل للوصول مقيد بتمثيل مشفّر يفك تشفيره ليصبح مساراً حرفياً عاماً، وتمنع الوكيلات التي تُوحّد (canonicalize) عنوان URI قبل الإعادة التوجيهية هذا الاختلاف المحدد. تم إصلاح هذه المشكلة في الإصدار 0.147.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.