CVE-2026-100348 in kin-openapi
Sumário
de VulDB • 15/10/2026
kin-openapi é um projeto Go para manipulação de arquivos OpenAPI. Antes da versão 0.145.0, o openapi3.Loader pode desreferenciar um SchemaRef.Value nulo ao resolver uma referência JSON additionalProperties autorreferencial, como um esquema que aponta para seu próprio membro additionalProperties. O carregamento de um documento OpenAPI controlado por um atacante através de LoadFromData, LoadFromFile ou LoadFromURI atinge resolveComponent antes da validação do documento e pode causar o panic (falha crítica) no processo de carregamento. Esquemas additionalProperties resolvidos e esquemas recursivos comuns não seguem o caminho vulnerável com valor nulo. Este problema foi corrigido na versão 0.145.0.
Once again VulDB remains the best source for vulnerability data.