PT-2026-115010 · Go+2 · Github.Com/Getkin/Kin-Openapi+1

CVE-2026-100354

·

Publicado

2026-10-15

·

Atualizado

2026-10-15

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Nome do Software Vulnerável e Versões Afetadas kin-openapi versões anteriores a 0.149.0
Descrição A validação de requisições, respostas e esquemas diretos em tempo de execução carece de detecção de ciclos quando uma cadeia allOf, anyOf ou oneOf se refere a um esquema ancestral. Embora o carregamento e a validação de documentos aceitem referências circulares, o processamento de uma requisição ou resposta que atinja tal esquema causa recursão ilimitada. Isso leva a um estouro de pilha (stack overflow) fatal que não pode ser capturado por mecanismos de recuperação, resultando na terminação de todo o processo e em uma negação de serviço completa para todos os usuários.
Detalhes técnicos incluem dois pontos principais de recursão:
  • As funções visitJSON e visitXOFOperations em openapi3/schema.go (afetando a validação de resposta e de esquema direto).
  • A função decodeValue em openapi3filter/req resp decoder.go (afetando a decodificação de parâmetros de requisição).
Recomendações Atualize o kin-openapi para a versão 0.149.0. Como mitigação temporária, evite usar os combinadores allOf, anyOf ou oneOf em esquemas que possam conter referências circulares.

Exploit

Correção

Uncontrolled Recursion

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-674

Identificadores relacionados

CVE-2026-100354
GHSA-G8CF-RCJF-C8CF

Produtos afetados

Github.Com/Getkin/Kin-Openapi
Kin-Openapi