CVE-2026-97394 in kin-openapi
Resumen
por VulDB • 2026-10-16
kin-openapi es un proyecto en Go para el manejo de archivos OpenAPI. Desde la versión 0.136.0 hasta la 0.143.0, openapi3filter acepta esquemas de matriz (array) de OpenAPI 3.1 sin una palabra clave `items` y luego desreferencia el valor nil de Schema.Items al decodificar cuerpos de solicitud application/x-www-form-urlencoded o multipart/form-data, encabezados de respuesta y otras superficies de parámetros de tipo array. Un cliente remoto no autenticado puede acceder a una operación afectada con una solicitud no vacía o una respuesta coincidente, desencadenando determinísticamente un panic por puntero nulo durante ValidateRequest o ValidateResponse. Los documentos OpenAPI 3.0 no se ven afectados porque la validación del documento rechaza las matrices sin `items`, y los cuerpos de solicitud JSON utilizan una ruta de decodificación diferente. Este problema está corregido en la versión 0.143.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.