PT-2026-114981 · Go+1 · Github.Com/Getkin/Kin-Openapi+1
CVE-2026-100350
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v3.1
5.3
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L |
اسم البرنامج المصاب والإصدارات المتأثرة
kin-openapi الإصدارات من 0.145.0 إلى 0.145.x
Description
يمكن لعميل عن بُعد غير مصرح له التسبب في حالة رفض الخدمة من خلال استهلاك غير منضبط لوحدة المعالجة المركزية (CPU). تحدث المشكلة عندما يقوم
openapi3filter بفك تشفير معاملات الاستعلام من نوع deepObject؛ حيث يقوم باستدعاء regexp.MustCompile بشكل متكرر لنفس التعبير النمطي لاسم المعامل داخل حلقة تكرارية لكل مفتاح استعلام موجود في الطلب. نظرًا لأن عدد مفاتيح الاستعلام يتم التحكم فيه من قبل المهاجم وغير محدود، فإن الطلب الذي يحتوي على العديد من المفاتيح غير ذات الصلة يفرض عددًا تناسبيًا من عمليات إعادة التجميع، مما يؤدي إلى إجهاد أنوية وحدة المعالجة المركزية وزيادة تخصيصات الذاكرة. يؤثر هذا على أي عملية تستخدم دالة ValidateRequest مع وجود معامل واحد على الأقل من نوع in: query و style: deepObject.Recommendations
تحديث kin-openapi إلى الإصدار 0.146.0.
كإجراء تخفيف مؤقت، قم بفرض حد أقصى لحجم الطلب/URL أو عدد مفاتيح الاستعلام عند مستوى البروكسي العكسي (reverse proxy) أو البرمجيات الوسيطة (middleware) للحد من عدد تكرارات الحلقة.
استغلال
إصلاح
Resource Exhaustion
Allocation of Resources Without Limits
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Github.Com/Getkin/Kin-Openapi
Kin-Openapi