CVE-2026-105796

Nome do Software Vulnerável e Versões Afetadas Kiota versões 0.5.0 até 1.34.1

Description O Kiota é um gerador de código de cliente HTTP baseado em OpenAPI. Os sanitizadores de comentários de documentação para Java e PHP excluem terminadores de comentários de bloco em vez de neutralizá-los. Isso permite que caracteres sobrepostos reformem um terminador, possibilitando que textos de OpenAPI controlados por um invasor sejam colocados fora de um comentário de documentação gerado. Além disso, o sanitizador de Java remove caracteres não ASCII após excluir os terminadores, o que pode criar um novo terminador durante a normalização. A exploração ocorre quando um desenvolvedor ou pipeline de compilação gera o código-fonte a partir de uma descrição maliciosa e, posteriormente, compila e carrega a saída Java ou carrega a saída PHP, resultando na execução de código injetado no contexto do aplicativo consumidor ou do ambiente de compilação.

Recommendations Atualize para a versão 1.35.0 ou posterior e regenere os clientes afetados. Gere clientes apenas a partir de descrições OpenAPI confiáveis e com integridade protegida. Revise o código-fonte Java e PHP gerado antes de compilá-lo, carregá-lo ou implantá-lo. Restrinja os privilégios e segredos disponíveis para os ambientes de geração e compilação.