CVE-2026-100351

اسم البرنامج المصاب والإصدارات المتأثرة kin-openapi الإصدارات من 0.144.0 إلى 0.146.0

Description توجد مشكلة في openapi3filter.ValidationHandler.Middleware حيث قد تختار طبقة التحقق من الأمان وموزع الطلبات اللاحق (downstream) عمليات OpenAPI مختلفة. يقوم ValidationHandler باختيار العملية بناءً على URL.Path الذي تم فك ترميزه، بينما يقوم موزع gorilla/mux اللاحق الذي تم تكوينه باستخدام UseEncodedPath باختيار المعالج بناءً على URL.RawPath المرمز.

عندما تستخدم مسار دقيق عام ومسار مُعلم محمي نفس طريقة HTTP ويتداخلان بعد فك الترميز، يمكن لمطلب عن بُعد غير مصرح له تجاوز المصادقة. من خلال إرسال طلب يحتوي على فاصل مسار مرمز، يمكن التحقق من الطلب على أنه عملية عامة ثم توجيهه إلى معالج محمي دون استدعاء دالة AuthenticationFunc. يقتصر معلم المسار الذي يمكن الوصول إليه على تمثيل مرمز يتم فك ترميزه إلى المسار الحرفي العام.

Recommendations تحديث kin-openapi إلى الإصدار 0.147.0. كإجراء تخفيف مؤقت، تأكد من أن أي وكيل عكسي (reverse proxy) مستخدم قبل التطبيق يقوم بتوحيد (canonicalize) معرف المورد الموحد (URI) قبل التوجيه لمنع عدم تطابق المسارات.