CVE-2026-100351 in kin-openapi
要約
〜によって VulDB • 2026年10月15日
kin-openapiはOpenAPIファイルを処理するためのGoプロジェクトです。バージョン0.144.0から0.147.0の間、openapi3filter.ValidationHandlerはデコードされたURL.Pathから選択された操作を検証しますが、UseEncodedPathで設定されたdownstreamのgorilla/muxルーターはURL.RawPathから選択された異なる操作をディスパッチする可能性があります。公開されている正確なルートと保護されたパラメータ付きルートが同じHTTPメソッドを使用し、デコード後に重複する場合、エンコードされたパス区切り文字を含む認証不要のリモートリクエストが公開用として検証され、設定されたAuthenticationFuncの呼び出しなしで保護されたハンドラにディスパッチされる可能性があります。到達可能なpathパラメータは、デコードすると公開されているリテラルルートになるようなエンコーディング表現に制限されています。また、転送前にURIを正規化するプロキシはこの特定の不整合を防ぎます。この問題はバージョン0.147.0で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.