CVE-2026-72923

WysokieCVSS 7.5

Opublikowano: 08/09/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

1.90%

Percentyl 79 - wyżej niż 79% wszystkich znanych CVE

Streszczenie

W pakietach Microsoft.OpenApi.Readers przed wersją 1.6.30 oraz Microsoft.OpenApi.YamlReader w wersjach 2.0.0-preview.11–2.11.0 i 3.0.0–3.9.0 parsowanie dokumentu YAML OpenAPI z zagnieżdżonymi kotwicami i aliasami może prowadzić do niekontrolowanego zużycia pamięci. Bez limitu liczby węzłów i głębokości zagnieżdżenia N zagnieżdżonych kotwic użytych k razy może wymagać k^N zmaterializowanych węzłów i zakończyć proces z powodu braku pamięci.

Ocena ryzyka

Atakujący może dostarczyć spreparowany dokument YAML OpenAPI, który wyczerpie pamięć i zatrzyma proces aplikacji, powodując odmowę usługi (DoS).

Rekomendacja

Zaktualizuj Microsoft.OpenApi.Readers do wersji 1.6.30 oraz Microsoft.OpenApi.YamlReader do wersji 2.12.0 lub 3.10.0, które domyślnie ograniczają materializację do 5 000 000 węzłów i głębokość zagnieżdżenia do 64.

Inne podatności w Microsoft.OpenApi

CVE-2026-49451Wysokie
Podatność w bibliotece Microsoft.OpenApi (OpenAPI.NET SDK) pozwala na przerwanie działania procesu przez przepełnienie stosu podczas parsowania dokumentu OpenAPI z cyklicznym odwołaniem do schematu. Problem występuje w wersjach od 2.0.0-preview11 do 2.7.5 i 3.5.4, dotyczy zarówno czytników JSON, jak i YAML.

Oryginalny opis (angielski, źródło NVD)

The OpenAPI.NET SDK contains a useful object model for OpenAPI documents in .NET along with common serializers to extract raw OpenAPI JSON and YAML documents from the model. In Microsoft.OpenApi.Readers versions before 1.6.30 and Microsoft.OpenApi.YamlReader from 2.0.0-preview.11 through 2.11.0 and 3.0.0 through 3.9.0, parsing a YAML OpenAPI document with nested anchors and aliases can consume uncontrolled memory. SharpYaml represents aliases as shared nodes in a small directed acyclic graph, but conversion to independent OpenAPI or System.Text.Json.Nodes.JsonNode trees duplicates every aliased path; without a node-count or nesting-depth limit, N nested anchors referenced k times can require k^N materialized nodes and terminate the process through an out-of-memory condition. The fixed readers bound materialization to 5,000,000 nodes and a nesting depth of 64 by default and report an OpenApiDiagnostic error when a limit is exceeded. This vulnerability is fixed in Microsoft.OpenApi.Readers 1.6.30 and Microsoft.OpenApi.YamlReader 2.12.0 and 3.10.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS