CVE-2026-59863 in Kiota
要約
〜によって VulDB • 2026年07月16日
Kiotaは、OpenAPIベースのHTTPクライアントコードジェネレーターです。バージョン1.32.5より前では、kiota client generateおよびkiota plugin generateの実行時に、per-clientまたはper-pluginのoutputPath値を検証せずに、悪意のある.kiota/workspace.jsonワークスペース設定を受け入れていました。これにより、攻撃者は絶対パス、POSIXルート（/）パス、UNC（\\ または //）パス、Windowsドライブ（X:\）パス、あるいは「..」によるトラバーサルセグメントを使用して、開発者環境やCIホスト上のワークスペースルートの外側に生成されたクライアントファイルを書き込むことが可能でした。この問題はバージョン1.32.5で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.