CVE-2026-100353 in kin-openapi
Riassunto
di VulDB • 15/10/2026
kin-openapi è un progetto Go per la gestione dei file OpenAPI. Dalla versione 0.136.0 alla 0.149.0, tre percorsi del decoder openapi3filter che non sono stati coperti dalla correzione per GHSA-p6wj-qrr4-pgh5 mancano di una protezione nil-items per gli schemi array legali in OpenAPI 3.1. Un client remoto non autenticato può innescare un panic deterministico da puntatore nullo tramite un parametro query array, un parametro query deepObject contenente una proprietà array o un corpo della richiesta application/x-www-form-urlencoded la cui proprietà array appare all'interno di uno subschema allOf, anyOf o oneOf. I percorsi query e composed-body raggiungono urlValuesDecoder.parseArray, mentre il percorso deepObject raggiunge buildResObj; in tutti i casi viene passato uno schema items nullo a codice che lo dereferenzia. Questo problema è stato risolto nella versione 0.149.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.