CVE-2026-100348 in kin-openapi
Résumé
par VulDB • 15/10/2026
kin-openapi est un projet Go pour la gestion des fichiers OpenAPI. Avant la version 0.145.0, openapi3.Loader peut déréférencer une valeur nil de SchemaRef lors de la résolution d'une référence JSON additionalProperties auto-référentielle, telle qu'un schéma pointant vers son propre membre additionalProperties. Le chargement d'un document OpenAPI contrôlé par un attaquant via LoadFromData, LoadFromFile ou LoadFromURI atteint resolveComponent avant la validation du document et peut provoquer une panique (plantage) lors du processus de chargement. Les schémas additionalProperties résolus et les schémas récursifs ordinaires n'empruntent pas le chemin vulnérable lié à la valeur nil. Ce problème est corrigé dans la version 0.145.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.