CVE-2026-59860

Nome do Software Vulnerável e Versões Afetadas Kiota versões anteriores a 1.29.1 Kiota versões 1.30.0 a 1.32.2

Description O Kiota, um gerador de código de cliente HTTP baseado em OpenAPI, contém uma falha de injeção de geração de código no sumidouro de comentários de documentação XML do C#. O problema ocorre quando o texto de uma descrição OpenAPI é gravado em comentários de documentação XML de linha única sem a remoção de caracteres de nova linha e terminadores de linha Unicode. Isso permite que um invasor saia da linha de comentário /// e injete código arbitrário nos clientes C# gerados através dos campos description, rótulo externalDocs e link externalDocs. O código injetado é executado quando o desenvolvedor ou o sistema de CI compila o cliente gerado. Isso é explorável na prática se a descrição OpenAPI for de uma fonte não confiável ou tiver sido adulterada.

Recommendations Atualize o Kiota para a versão 1.29.1 ou posterior. Atualize o Kiota para a versão 1.32.3 ou posterior. Regere os clientes existentes para substituir o código vulnerável por uma saída reforçada.