CVE-2026-73502
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
kin-openapi, projekt Go do obsługi plików OpenAPI, w wersjach od 0.2.0 do 0.144.0 zawiera podatność na odmowę usługi przez wyłuskanie pustego wskaźnika w funkcji openapi3filter.ValidateRequest, gdy operacja deklaruje parametr treści z typem application/json bez schematu. Pojedyncze nieuwierzytelnione żądanie z wartością parametru może spowodować panikę walidacji żądania, prowadząc do przerwania żądania i wzrostu logów w typowej ścieżce synchronicznej net/http lub pełnego awarii procesu w integracjach bez mechanizmu odzyskiwania. Problem naprawiono w wersji 0.144.0.
Ocena ryzyka
Ryzyko obejmuje przerwy w działaniu usług korzystających z kin-openapi, co może prowadzić do niedostępności aplikacji i potencjalnych strat finansowych.
Rekomendacja
Zaleca się aktualizację kin-openapi do wersji 0.144.0 lub nowszej oraz przegląd definicji OpenAPI pod kątem parametrów treści bez schematu.
Inne podatności w kin-openapi
Zobacz wszystkie- CVE-2026-73501Krytyczne
kin-openapi to projekt Go do obsługi plików OpenAPI. Przed wersją 0.144.0, ValidationHandler.Load() w openapi3filter/validation_handler.go po cichu zastępuje nil AuthenticationFunc funkcją NoopAuthenticationFunc, która zwraca nil bez sprawdzania poświadczeń. To podstawienie powoduje, że każde wymaganie bezpieczeństwa OpenAPI jest spełnione dla nieuwierzytelnionych żądań, gdy aplikacja polega na ValidationHandler jako middleware egzekwującym. No-op callback uniemożliwia osiągnięcie ścieżki fail-closed ErrAuthenticationServiceMissing i przekazuje żądanie do chronionych handlerów, które mogą wymagać klucza API, tokena OAuth lub innego schematu bezpieczeństwa. Problem naprawiono w wersji 0.144.0.
- CVE-2026-77354Wysokie
kin-openapi w wersjach od 0.124.0 do 0.142.0 ma podatność na atak DoS. Funkcja sliceMapToSlice konwertuje kontrolowane przez atakującego indeksy z parametru deepObject na gęstą tablicę, co może prowadzić do alokacji wielogigabajtowej pamięci i wywołania OOM lub restartu aplikacji.
- CVE-2026-76905Wysokie
kin-openapi w wersjach od 0.10.0 do 0.141.0 ma podatność na atak DoS. Funkcja convertParseError dereferencuje wskaźnik e.Parameter bez sprawdzenia, czy jest on pusty, co może prowadzić do paniki aplikacji przy przetwarzaniu błędów walidacji.
Oryginalny opis (angielski, źródło NVD)
kin-openapi is a Go project for handling OpenAPI files. From 0.2.0 until 0.144.0, openapi3filter.ValidateRequest can encounter a NULL-pointer-dereference denial of service when an operation declares a content parameter whose application/json media type has no schema. In openapi3filter/req_resp_decoder.go, the default defaultContentParameterDecoder dereferences mt.Schema.Value without checking whether mt.Schema is nil, even though doc.Validate() accepts the document under OpenAPI 3.0.x and 3.1.x. A single unauthenticated request supplying the parameter value can panic request validation, causing an aborted request with log growth in the common synchronous net/http path or a full process crash in integrations without recovery. This issue is fixed in version 0.144.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS