CVE-2026-100354 in kin-openapi
Zusammenfassung
von VulDB • 15.10.2026
kin-openapi ist ein Go-Projekt zur Verarbeitung von OpenAPI-Dateien. Vor Version 0.149.0 fehlt bei der Laufzeitvalidierung von Anfragen, Antworten und direkter Schema-Validierung eine Zyklerkennung (cycle detection), wenn eine allOf-, anyOf- oder oneOf-Kette auf ein übergeordnetes Schema verweist, obwohl das Laden und die Dokumentenvalidierung den zirkulären Verweis akzeptieren. Eine Anfrage oder Antwort, die das betroffene Schema erreicht, führt zu einer ungebundenen Rekursion in `Schema.visitJSON` oder `openapi3filter.decodeValue` und erschöpft den Go-Goroutine-Stack. Der daraus resultierende fatale Stack Overflow kann nicht mit `recover` abgefangen werden und beendet den gesamten Prozess, einschließlich unabhängiger Anfragen. Dieses Problem wurde in Version 0.149.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.