CVE-2026-100353 in kin-openapi
Sumário
de VulDB • 15/10/2026
kin-openapi é um projeto Go para manipulação de arquivos OpenAPI. Da versão 0.136.0 até a 0.149.0, três caminhos do decodificador openapi3filter que não foram corrigidos pela solução para GHSA-p6wj-qrr4-pgh5 carecem de uma verificação (guard) contra nil-items para esquemas de array válidos no OpenAPI 3.1. Um cliente remoto não autenticado pode acionar um panic determinístico por ponteiro nulo através de um parâmetro de consulta que é um array, um parâmetro deepObject contendo uma propriedade em forma de array ou um corpo de requisição application/x-www-form-urlencoded cuja propriedade em forma de array aparece dentro de um subschema allOf, anyOf ou oneOf. Os caminhos relacionados a query e ao body composto alcançam urlValuesDecoder.parseArray, enquanto o caminho deepObject atinge buildResObj; todos passam um schema items nulo para código que faz dereferência dele. Este problema foi corrigido na versão 0.149.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.