CVE-2026-100351

Nome do Software Vulnerável e Versões Afetadas kin-openapi versões 0.144.0 até 0.146.0

Description Existe um problema no openapi3filter.ValidationHandler.Middleware onde a camada de validação de segurança e o despachante de requisições downstream podem selecionar operações OpenAPI diferentes. O ValidationHandler seleciona uma operação com base no URL.Path decodificado, enquanto um roteador gorilla/mux downstream configurado com UseEncodedPath seleciona o manipulador com base no URL.RawPath codificado.

Quando uma rota exata pública e uma rota parametrizada protegida usam o mesmo método HTTP e se sobrepõem após a decodificação, um solicitante remoto não autenticado pode ignorar a autenticação. Ao enviar uma requisição contendo um separador de caminho codificado, a requisição pode ser validada como uma operação pública e, subsequentemente, despachada para um manipulador protegido sem acionar a função de retorno AuthenticationFunc. O parâmetro de caminho alcançável é limitado a uma representação codificada que decodifica para a rota literal pública.

Recommendations Atualize o kin-openapi para a versão 0.147.0. Como mitigação temporária, certifique-se de que qualquer proxy reverso utilizado antes da aplicação canonicalize a URI antes do encaminhamento para evitar a incompatibilidade de caminhos.