CVE-2026-100350

Nome do Software Vulnerável e Versões Afetadas kin-openapi versões 0.145.0 até 0.145.x

Description Um cliente remoto não autenticado pode causar a negação de serviço através do consumo descontrolado de CPU. O problema ocorre quando o openapi3filter decodifica parâmetros de consulta do estilo deepObject; ele chama repetidamente regexp.MustCompile para a mesma expressão regular do nome do parâmetro dentro de um loop para cada chave de consulta fornecida na requisição. Como o número de chaves de consulta é controlado pelo invasor e ilimitado, uma requisição contendo muitas chaves não relacionadas força um número proporcional de recompilações, saturando os núcleos da CPU e aumentando as alocações de memória. Isso afeta qualquer operação que utilize a função ValidateRequest com pelo menos um parâmetro in: query e style: deepObject.

Recommendations Atualize o kin-openapi para a versão 0.146.0. Como mitigação temporária, implemente um limite no tamanho da requisição/URL ou no número máximo de chaves de consulta em um proxy reverso ou middleware para limitar o número de iterações do loop.