CVE-2026-97394 Desreferencia de puntero nulo en openapi3filter de kin-openapi con esquemas de array OpenAPI 3.1 sin items

Qué es CVE-2026-97394

openapi3filter acepta esquemas de array OpenAPI 3.1 sin la palabra clave items y luego desreferencia el valor nil Schema.Items al decodificar cuerpos de solicitud application/x-www-form-urlencoded o multipart/form-data, encabezados de respuesta y otras superficies de parámetros de array. Un cliente remoto no autenticado puede alcanzar una operación afectada con una solicitud no vacía o una respuesta coincidente y provocar de forma determinista un panic por puntero nulo durante ValidateRequest o ValidateResponse…

Productos y versiones afectadas

• getkin kin-openapi

  • >= 0.136.0, < 0.143.0

Qué hacer

1. Verificá si usás kin-openapi y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

kin-openapi is a Go project for handling OpenAPI files. From 0.136.0 until 0.143.0, openapi3filter accepts OpenAPI 3.1 array schemas without an items keyword and then dereferences the nil Schema.Items value while decoding application/x-www-form-urlencoded or multipart/form-data request bodies, response headers, and other array parameter surfaces. A remote unauthenticated client can reach an affected operation with a nonempty request or matching response and deterministically trigger a nil-pointer panic during ValidateRequest or ValidateResponse. OpenAPI 3.0 documents are not affected because document validation rejects arrays without items, and JSON request bodies use a different decoder path. This issue is fixed in version 0.143.0.

Referencias

• github.com/getkin/kin-openapi/security/advisories/GHSA-p6wj-qrr4-pgh5X_REFSOURCE_CONFIRM
• github.com/getkin/kin-openapi/commit/30e292371a89ca6d1f91a9553e0aa518b49f838dX_REFSOURCE_MISC
• github.com/getkin/kin-openapi/releases/tag/v0.143.0X_REFSOURCE_MISC
• github.com/opnsense/core/security/advisories/GHSA-26cj-h9rj-g5pfEXPLOIT

Historial de la alerta

1. 15 OCT · 13:17VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.