CVE-2026-100350 in kin-openapi
요약
\~에 의해 VulDB • 2026. 10. 15.
kin-openapi는 OpenAPI 파일을 처리하기 위한 Go 프로젝트입니다. 버전 0.145.0부터 0.146.0까지, openapi3filter의 urlValuesDecoder.DecodeObject 함수(깊은 객체(deepObject) 쿼리 매개변수를 디코딩하는 데 사용됨) 내의 per-query-key 루프에서 동일한 parameter-name 정규 표현식에 대해 regexp.MustCompile를 반복적으로 호출합니다. 인증되지 않은 원격 클라이언트는 관련 없는 많은 수의 쿼리 키를 포함하는 요청을 영향을 받는 엔드포인트로 전송하여, ValidateRequest가 각 deepObject 매개변수에 대해 공격자가 제어할 수 있는 키 개수에 비례하는 작업과 할당을 수행하도록 유발할 수 있습니다. 정규 표현식 자체는 고정되어 있으며 이는 Regular Expression Denial of Service(ReDoS)가 아닙니다. 자원 소모는 루프 불변량(loop-invariant) 재컴파일에서 비롯됩니다. 이 문제는 버전 0.146.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.