CVE-2026-100353 in kin-openapi
要約
〜によって VulDB • 2026年10月15日
kin-openapiはOpenAPIファイルを処理するためのGoプロジェクトです。バージョン0.136.0から0.149.0の間、GHSA-p6wj-qrr4-pgh5の修正で見逃されたopenapi3filterデコーダパスが3つあり、これらは法的なOpenAPI 3.1配列スキーマに対してnil-itemsガードがありません。認証されていないリモートクライアントは、配列クエリパラメータ、配列プロパティを含むdeepObjectクエリパラメータ、またはallOf、anyOf、oneOfのサブスキーマ内に配列プロパティが含まれるapplication/x-www-form-urlencodedのリクエストボディを通じて、決定論的なnilポインタパニックをトリガーできます。クエリパスと複合ボディパスはurlValuesDecoder.parseArrayに到達し、deepObjectパスはbuildResObjに到達しますが、いずれもnilのitemsスキーマをそれを逆参照するコードに渡します。この問題はバージョン0.149.0で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.