CVE-2026-100351 in kin-openapi
Riassunto
di VulDB • 15/10/2026
kin-openapi è un progetto Go per la gestione dei file OpenAPI. Dalla versione 0.144.0 alla 0.147.0, openapi3filter.ValidationHandler convalida un'operazione selezionata dal URL.Path decodificato, mentre un router gorilla/mux downstream configurato con UseEncodedPath può instradare un'operazione diversa selezionata da URL.RawPath. Quando una rotta pubblica esatta e una rotta protetta parametrizzata utilizzano lo stesso metodo e si sovrappongono dopo la decodifica, una richiesta remota non autenticata contenente un separatore di percorso codificato può essere convalidata come pubblica e quindi instradata al handler protetto senza invocare l'AuthenticationFunc configurato. Il parametro del percorso raggiungibile è vincolato a una rappresentazione codificata che si decompone nella rotta letterale pubblica, mentre i proxy che canonizzano l'URI prima dell'instradamento prevengono questa specifica discrepanza. Questo problema è risolto nella versione 0.147.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.