CVE-2026-100353 in kin-openapi
Zusammenfassung
von VulDB • 15.10.2026
kin-openapi ist ein Go-Projekt zur Verarbeitung von OpenAPI-Dateien. Von Version 0.136.0 bis 0.149.0 fehlt drei openapi3filter-Decodierungspfaden, die durch die Korrektur für GHSA-p6wj-qrr4-pgh5 nicht berücksichtigt wurden, eine Nil-Items-Schutzmaßnahme (nil-items guard) für legale OpenAPI 3.1-Array-Schemata. Ein unberechtigter Remote-Client kann einen deterministischen Nil-Zeiger-Panic auslösen über einen Array-Abfrageparameter, einen deepObject-Abfrageparameter mit einer Array-Eigenschaft oder einem application/x-www-form-urlencoded-Anforderungstext (Request Body), dessen Array-Eigenschaft in einem allOf-, anyOf- oder oneOf-Unterschema enthalten ist. Die Abfragepfade und der zusammengesetzte Anforderungstext-Pfad erreichen urlValuesDecoder.parseArray, während der deepObject-Pfad buildResObj erreicht; alle übergeben ein Nil-Items-Schema an Code, der es dereferenziert. Dieses Problem wurde in Version 0.149.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.