CVE-2026-59859

Nome do Software Vulnerável e Versões Afetadas Kiota versões anteriores a 1.29.1 Kiota versões anteriores a 1.32.4

Description O gerador PHP do Kiota está sujeito a uma injeção de literal de geração de código. A função SanitizeDoubleQuote() em Writers/StringExtensions.cs não escapa o caractere $ ao inserir descrições do OpenAPI, campos padrão, nomes de propriedades e outras strings derivadas do esquema em literais de aspas duplas do PHP. Isso permite que um invasor que controle uma especificação OpenAPI utilize construtos de interpolação, como ${...}, $var ou {$obj->prop}, para injetar código PHP arbitrário nas classes de modelo e de construção de requisição geradas, que são então avaliados em tempo de execução.

Recommendations Atualize para a versão 1.29.1 ou posterior. Atualize para a versão 1.32.4 ou posterior. Audite e sanitize as especificações OpenAPI, removendo ou substituindo strings que contenham o caractere $ antes da geração do código. Implemente a revisão obrigatória de código dos arquivos PHP gerados para identificar strings entre aspas duplas que contenham os padrões ${, $var ou {$. Restrinja o consumo de especificações OpenAPI a fontes internas confiáveis. Escape manualmente os caracteres $ em literais de string com aspas duplas nos arquivos gerados, substituindo $ por $.