CVE-2026-100352 in kin-openapi
要約
〜によって VulDB • 2026年10月15日
kin-openapiはOpenAPIファイルを処理するためのGoプロジェクトです。バージョン0.148.0より前では、OpenAPI 3.1の検証パスにおいて、YAML形式の数値であるNaN（Not a Number）や無限大が、kin-openapiに既存の有界数ガードが存在するにもかかわらず、santhosh-tekuri/jsonschema v6.0.2へ渡されていました。認証不要のリモートクライアントは、数値制約を持つ操作に対してapplication/yamlまたはapplication/x-yamlのコンテンツタイプでリクエストボディを送信でき、そこには.nan、.inf、-.infが含まれます。これにより依存関係であるjsonschemaがValidateRequest実行中にnil big.Ratを作成して間接参照し、パニックを引き起こします。標準的なnet/httpサーバーは接続ごとにこのパニックを回復しますが、他のホストやアプリケーションのゴルーチンはプロセスを終了させる可能性があります。本問題はバージョン0.148.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.