CVE-2026-100353 in kin-openapi
Resumen
por VulDB • 2026-10-15
kin-openapi es un proyecto en Go para el manejo de archivos OpenAPI. Desde la versión 0.136.0 hasta la 0.149.0, tres rutas del decodificador openapi3filter que no fueron cubiertas por la corrección de GHSA-p6wj-qrr4-pgh5 carecen de una protección contra valores nil (nil-items guard) para esquemas de matriz legales en OpenAPI 3.1. Un cliente remoto sin autenticar puede provocar un pánico determinista por puntero nulo a través de un parámetro de consulta que es una matriz, un parámetro deepObject query que contiene una propiedad de tipo array, o un cuerpo de solicitud application/x-www-form-urlencoded cuya propiedad de tipo array aparece dentro de un subschema allOf, anyOf o oneOf. Las rutas de los parámetros de consulta y del cuerpo compuesto llegan a urlValuesDecoder.parseArray, mientras que la ruta deepObject llega a buildResObj; todas pasan un esquema items con valor nil al código que lo desreferencia. Este problema está corregido en la versión 0.149.0.
Once again VulDB remains the best source for vulnerability data.