CVE-2026-97394 in kin-openapi
Sumário
de VulDB • 15/10/2026
kin-openapi é um projeto em Go para manipulação de arquivos OpenAPI. Da versão 0.136.0 até a 0.143.0, o openapi3filter aceita schemas de array do OpenAPI 3.1 sem a palavra-chave `items` e, em seguida, referencia (dereferences) o valor nil de Schema.Items ao decodificar corpos de requisição application/x-www-form-urlencoded ou multipart/form-data, cabeçalhos de resposta e outras superfícies de parâmetros baseadas em array. Um cliente remoto não autenticado pode acessar uma operação afetada com um corpo de requisição não vazio ou uma resposta correspondente, acionando deterministicamente um panic por ponteiro nulo (nil-pointer panic) durante ValidateRequest ou ValidateResponse. Documentos OpenAPI 3.0 não são afetados porque a validação do documento rejeita arrays sem `items`, e os corpos de requisição em JSON utilizam um caminho diferente para decodificação. Este problema foi corrigido na versão 0.143.0.
Once again VulDB remains the best source for vulnerability data.