CVE-2026-97394

Nome do Software Vulnerável e Versões Afetadas kin-openapi versões 0.136.0 até 0.143.0

Description Uma desreferenciação de ponteiro nulo no componente openapi3filter permite que um cliente remoto não autenticado cause uma negação de serviço. Isso ocorre quando o software processa esquemas de array OpenAPI 3.1 que omitem a palavra-chave items. Ao decodificar corpos de requisição application/x-www-form-urlencoded ou multipart/form-data, cabeçalhos de resposta e outras superfícies de parâmetros de array, o sistema desreferencia um valor Schema.Items nulo, levando a um pânico determinístico durante as funções ValidateRequest() ou ValidateResponse(). Este problema é específico do OpenAPI 3.1, pois documentos OpenAPI 3.0 são rejeitados durante a validação se os items estiverem ausentes, e corpos de requisição JSON utilizam um caminho de decodificação diferente.

Recommendations Atualize o kin-openapi para a versão 0.143.0. Como mitigação temporária, evite usar esquemas OpenAPI 3.1 que definam type: array sem a palavra-chave items em propriedades de corpo urlencoded ou multipart e em cabeçalhos de resposta.