CVE-2026-100353 in kin-openapi
Сводка
по VulDB • 15.10.2026
kin-openapi — это проект на Go для обработки файлов OpenAPI. В версиях от 0.136.0 до 0.149.0 три пути декодера openapi3filter, пропущенные исправлением для GHSA-p6wj-qrr4-pgh5, не содержат проверки nil-items для легитимных схем массивов OpenAPI 3.1. Неаутентифицированный удалённый клиент может вызвать детерминированный паник из-за нулевого указателя (nil-pointer panic) через параметр запроса в виде массива, параметр deepObject, содержащий свойство массива, или тело запроса application/x-www-form-urlencoded, у которого свойство массива находится внутри подсхемы allOf, anyOf или oneOf. Пути для параметров запроса и составного тела достигают функции urlValuesDecoder.parseArray, тогда как путь deepObject достигает buildResObj; во всех случаях в код, выполняющий разыменование (dereference), передаётся схема items со значением nil. Эта проблема исправлена в версии 0.149.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.