CVE-2026-72923

Nome do Software Vulnerável e Versões Afetadas Microsoft.OpenApi.YamlReader versões 2.0.0-preview.11 até 2.11.x Microsoft.OpenApi.YamlReader versões 3.0.0 até 3.9.x Microsoft.OpenApi.Readers versões anteriores a 1.6.30

Descrição Ocorre consumo descontrolado de recursos ao analisar um pequeno documento YAML OpenAPI contendo âncoras e aliases aninhados por meio de APIs públicas de leitura de YAML. Embora a análise inicial via SharpYaml utilize um grafo acíclico dirigido para manter a estrutura pequena, a conversão para System.Text.Json.Nodes.JsonNode exige que cada alias seja materializado como um nó independente. Como não há limite para essa conversão, um documento com N âncoras aninhadas referenciadas k vezes pode resultar em k^N nós JSON materializados. Isso leva à alocação excessiva de memória e ao encerramento do processo devido a condições de falta de memória, criando um ataque de negação de serviço do tipo billion laughs (um tipo de ataque onde uma entrada pequena se expande exponencialmente para consumir toda a memória disponível do sistema).

Recomendações Atualize o Microsoft.OpenApi.YamlReader para a versão 2.12.0. Atualize o Microsoft.OpenApi.YamlReader para a versão 3.10.0. Atualize o Microsoft.OpenApi.Readers para a versão 1.6.30.