PT-2026-115010 · Go+2 · Github.Com/Getkin/Kin-Openapi+1

CVE-2026-100354

·

تاريخ النشر

2026-10-15

·

تاريخ التحديث

2026-10-15

CVSS v3.1

7.5

عالية

المتجهAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة kin-openapi الإصدارات السابقة لـ 0.149.0
الوصف تفتقر عملية التحقق من الطلبات والاستجابات والمخططات المباشرة في وقت التشغيل إلى اكتشاف الدورات عندما تشير سلسلة allOf أو anyOf أو oneOf إلى مخطط سلف. وبينما يقبل تحميل المستند والتحقق منه المراجع الدائرية، فإن معالجة طلب أو استجابة تصل إلى مثل هذا المخطط تؤدي إلى تكرار غير محدود. يؤدي هذا إلى تجاوز سعة المكدس (stack overflow) بشكل قاتل لا يمكن تداركه بواسطة آليات الاسترداد، مما يؤدي إلى إنهاء العملية بأكملها وتعطيل الخدمة بالكامل لجميع المستخدمين.
تشمل التفاصيل الفنية موقعين رئيسيين للتكرار:
  • الدالتان visitJSON و visitXOFOperations في openapi3/schema.go (تؤثر على التحقق من الاستجابة والتحقق المباشر من المخطط).
  • الدالة decodeValue في openapi3filter/req resp decoder.go (تؤثر على فك تشفير معاملات الطلب).
التوصيات تحديث kin-openapi إلى الإصدار 0.149.0. كإجراء تخفيف مؤقت، تجنب استخدام مجمعات allOf أو anyOf أو oneOf في المخططات التي قد تحتوي على مراجع دائرية.

استغلال

إصلاح

Uncontrolled Recursion

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-674

المعرّفات ذات الصلة

CVE-2026-100354
GHSA-G8CF-RCJF-C8CF

المنتجات المتأثرة

Github.Com/Getkin/Kin-Openapi
Kin-Openapi