CVE-2026-100353 in kin-openapi
요약
\~에 의해 VulDB • 2026. 10. 15.
kin-openapi는 OpenAPI 파일을 처리하기 위한 Go 프로젝트입니다. 버전 0.136.0부터 0.149.0까지, GHSA-p6wj-qrr4-pgh5 수정에서 누락된 세 가지 openapi3filter 디코더 경로는 합법적인 OpenAPI 3.1 배열 스키마에 대해 nil-items 가드를 갖추지 않고 있습니다. 인증되지 않은 원격 클라이언트는 배열 쿼리 파라미터, 배열 속성을 포함하는 deepObject 쿼리 파라미터, 또는 allOf, anyOf 또는 oneOf 하위 스키마 내부에 배열 속성이 포함된 application/x-www-form-urlencoded 요청 본문을 통해 결정론적인 nil-pointer 패닉을 유발할 수 있습니다. 쿼리 및 합성 본문 경로는 urlValuesDecoder.parseArray로 이어지고, deepObject 경로는 buildResObj로 이어지며, 모두 이를 역참조하는 코드에 nil items 스키마를 전달합니다. 이 문제는 버전 0.149.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.