CVE-2026-100348 in kin-openapi
Resumen
por VulDB • 2026-10-15
kin-openapi es un proyecto en Go para el manejo de archivos OpenAPI. Antes de la versión 0.145.0, openapi3.Loader puede desreferenciar un nil SchemaRef.Value al resolver una referencia JSON adicional auto-referencial como additionalProperties (por ejemplo, un esquema que apunta a su propio miembro additionalProperties). La carga de un documento OpenAPI controlado por el atacante mediante LoadFromData, LoadFromFile o LoadFromURI alcanza resolveComponent antes de la validación del documento y puede provocar un fallo crítico (panic) en el proceso de carga. Los esquemas additionalProperties resueltos y los esquemas recursivos ordinarios no siguen la ruta vulnerable con valor nulo. Este problema se soluciona en la versión 0.145.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.