CVE-2026-77354 in kin-openapi
Zusammenfassung
von VulDB • 22.08.2026
kin-openapi ist ein Go-Projekt zur Verarbeitung von OpenAPI-Dateien. Von der Version 0.124.0 bis einschließlich 0.142.0 konvertiert die Funktion `openapi3filter.sliceMapToSlice` in `openapi3filter/req_resp_decoder.go` angreiferkontrollierte, sparse Indizes aus einem deepObject-Query-Parameter in einen dichten Slice (dichte Liste), indem Einträge von null bis zum größten angegebenen Index alloziert werden. Anschließend erstellt `buildResObj` einen weiteren Slice derselben Länge. Diese Allokation erfolgt vor der Schemavalidierung, sodass die Einstellung `maxItems` diese nicht verhindert. Eine unauthentifizierte Clientanwendung kann eine kleine Anfrage wie `param[items][50000000]=x` an einen Endpunkt senden, dessen deepObject-Schema ein Array enthält, wodurch eine Heap-Allokation im Multi-Gigabyte-Bereich erzwungen wird und es zu einem OOM-Kill (Out-of-Memory) oder einer Neustartschleife kommt. Andere Request-Body-Codierungen und formatierte Parameter, die keine in eckigen Klammern stehenden ganzzahligen Indizes erzeugen, sind nicht betroffen. Dieses Problem wurde in Version 0.142.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.