PT-2026-114978 · Go+2 · Github.Com/Getkin/Kin-Openapi+1

CVE-2026-100347

·

تاريخ النشر

2026-10-15

·

تاريخ التحديث

2026-10-15

CVSS v3.1

5.3

متوسطة

المتجهAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المصاب والإصدارات المتأثرة kin-openapi الإصدارات السابقة لـ 0.145.0
الوصف يمكن لعميل عن بُعد غير مصرح له التسبب في حالة رفض الخدمة عن طريق إرسال طريقة HTTP غير مدعومة أو غير قياسية (مثل PROPFIND أو get بأحرف صغيرة) إلى مسار ثابت موجود. يستخدم openapi3filter.ValidationHandler موجهًا قديمًا يفشل في توحيد طريقة الطلب. عندما يتم استخدام طريقة غير قياسية لمسار ثابت، تؤدي الدالة GetOperation() في مكون openapi3.PathItem إلى حدوث حالة ذعر (panic) قبل تشغيل عملية المصادقة. وبينما يقوم خادم net/http في لغة Go بالتعافي من حالة الذعر لكل اتصال، فإن الطلبات المتكررة تؤدي إلى قطع الاتصالات ونمو غير محدود في سجلات تتبع المكدس (stack-trace).
التوصيات تحديث kin-openapi إلى الإصدار 0.145.0.

استغلال

إصلاح

RCE

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-248CWE-20

المعرّفات ذات الصلة

CVE-2026-100347
GHSA-FH4F-47MF-F2GJ

المنتجات المتأثرة

Github.Com/Getkin/Kin-Openapi
Kin-Openapi