CVE-2026-100348 Panic por puntero nulo en el cargador de kin-openapi con un $ref autorreferencial en additionalProperties

Qué es CVE-2026-100348

Antes de 0.145.0, openapi3.Loader puede desreferenciar un SchemaRef.Value nulo al resolver una referencia JSON autorreferencial en additionalProperties, como un esquema que apunta a su propio miembro additionalProperties. Cargar un documento OpenAPI controlado por un atacante mediante LoadFromData, LoadFromFile o LoadFromURI llega a resolveComponent antes de la validación del documento y puede provocar un panic en el proceso de carga. Corregido en la versión 0.145.0.

Productos y versiones afectadas

• getkin kin-openapi

  • < 0.145.0

Qué hacer

1. Verificá si usás kin-openapi y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Baja

Abrir la calculadora completa →

Descripción original

kin-openapi is a Go project for handling OpenAPI files. Prior to 0.145.0, openapi3.Loader can dereference a nil SchemaRef.Value while resolving a self-referential additionalProperties JSON Reference such as a schema that points to its own additionalProperties member. Loading an attacker-controlled OpenAPI document through LoadFromData, LoadFromFile, or LoadFromURI reaches resolveComponent before document validation and can panic the loading process. Resolved additionalProperties schemas and ordinary recursive schemas do not take the vulnerable nil-value path. This issue is fixed in version 0.145.0.

Referencias

• github.com/getkin/kin-openapi/security/advisories/GHSA-mh7x-f8wq-4jhxX_REFSOURCE_CONFIRM
• github.com/getkin/kin-openapi/commit/88aa64c7cbd03ecadbb419c473bdcaa8b0124c6bX_REFSOURCE_MISC
• github.com/getkin/kin-openapi/releases/tag/v0.145.0X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 13:17VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.