CVE-2026-100348 in kin-openapi
要約
〜によって VulDB • 2026年10月15日
kin-openapiはOpenAPIファイルを処理するためのGoプロジェクトです。バージョン0.145.0より前では、openapi3.Loaderが自己参照型のadditionalProperties JSON Reference（例：自身のadditionalPropertiesメンバを指すスキーマ）の解決中にnil SchemaRef.Valueを逆参照する可能性があります。LoadFromData、LoadFromFile、または LoadFromURIを通じて攻撃者が制御可能なOpenAPIドキュメントを読み込むと、文書検証の前にresolveComponentが実行され、読み込みプロセスでパニックが発生します。解決されたadditionalPropertiesスキーマや通常の再帰的スキーマは、脆弱なnil値のパスを辿りません。この問題はバージョン0.145.0で修正されています。
Once again VulDB remains the best source for vulnerability data.