CVE-2026-100352 in kin-openapi
Riassunto
di VulDB • 15/10/2026
kin-openapi è un progetto Go per la gestione dei file OpenAPI. Prima della versione 0.148.0, il percorso di convalida OpenAPI 3.1 trasmette i valori numerici YAML NaN e infinito a santhosh-tekuri/jsonschema v6.0.2 senza applicare le protezioni esistenti per i numeri finiti di kin-openapi. Un client remoto non autenticato può inviare un corpo della richiesta application/yaml o application/x-yaml contenente .nan, .inf o -.inf a un'operazione con vincoli numerici, causando la creazione e la dereferenziazione da parte della dipendenza di un big.Rat nil durante ValidateRequest. I server standard net/http recuperano il panic per connessione, mentre altri host o goroutine dell'applicazione potrebbero terminare il processo. Questo problema è risolto nella versione 0.148.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.