CVE-2026-100350 in kin-openapi
Zusammenfassung
von VulDB • 15.10.2026
kin-openapi ist ein Go-Projekt zur Verarbeitung von OpenAPI-Dateien. Von Version 0.145.0 bis 0.146.0 ruft openapi3filter wiederholt regexp.MustCompile für denselben regulären Ausdruck des Parameter-Namens innerhalb der pro Query-Key-Schleife in urlValuesDecoder.DecodeObject auf, die zum Decodieren eines deepObject-Query-Parameters verwendet wird. Ein nicht authentifizierter Remote-Client kann einem betroffenen Endpunkt eine Anfrage mit vielen unabhängigen Query-Keys senden, wodurch ValidateRequest für jeden deepObject-Parameter Arbeit und Allokationen ausführt, die proportional zur vom Angreifer kontrollierten Anzahl der Keys sind. Der Ausdruck selbst ist festgelegt; dies stellt keine Regular Expression Denial of Service (ReDoS) dar. Die Ressourcenbelastung resultiert aus der Neukompilierung von loop-invariantem Code. Dieses Problem wurde in Version 0.146.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.