CVE-2026-100347 in kin-openapi
Résumé
par VulDB • 16/10/2026
kin-openapi est un projet Go pour la gestion des fichiers OpenAPI. Avant la version 0.145.0, openapi3filter.ValidationHandler utilise le routeur legacy (routers/legacy), qui transmet une méthode HTTP non prise en charge ou non canonique pour un chemin statique existant à openapi3.PathItem.GetOperation. La branche par défaut de GetOperation provoque un panic avant l'exécution de l'authentification, permettant ainsi à un client distant non authentiqué d'envoyer répétitivement des méthodes telles que PROPFIND ou get en minuscules pour interrompre les connexions et entraîner une croissance du volume des journaux contenant des traces de pile. Le panic spécifique nécessite un chemin statique exact ; un chemin concret correspondant uniquement à une route paramétrée n'atteint pas le même point d'échec (sink). Ce problème est corrigé dans la version 0.145.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.