CVE-2026-53508

Nome do Software Vulnerável e Versões Afetadas oasdiff versões 1.13.2 até 1.18.0

Description Ao carregar uma especificação de uma revisão git (usando o formato rev:path), o software não aplica a configuração --allow-external-refs=false (especificamente a configuração de biblioteca openapi3.Loader.IsExternalRefsAllowed = false). Isso permite a resolução de $ref externos mesmo quando estes são explicitamente desativados, podendo levar a Server-Side Request Forgery (SSRF) via referências http:// e leitura de arquivos locais via file:// ou caminhos absolutos. Este problema afeta a CLI ao utilizar diff, breaking, changelog, summary ou o git-diff-driver em conteúdos não confiáveis, bem como consumidores da biblioteca Go que utilizam load.NewSpecInfo com a fonte de revisão git.

Recommendations Atualize para a versão 1.18.1. Evite usar o formato de entrada de revisão git ao processar especificações não confiáveis com referências externas desativadas.