CVE-2026-100347

Les versions de kin-openapi antérieures à 0.145.0 sont concernées, plus précisément le composant `openapi3filter.ValidationHandler` utilisé pour la gestion des fichiers OpenAPI dans les projets Go. La faille se situe dans le routeur hérité, qui ne gère pas correctement les méthodes HTTP non standard ou non supportées lorsqu'elles ciblent un chemin statique. Cela provoque un « panic » et le plantage de l'application avant même que la couche d'authentification ne puisse traiter la requête.

Un attaquant distant non authentifié peut exploiter cette vulnérabilité en envoyant des requêtes HTTP spécifiquement conçues vers un chemin statique connu sur votre serveur. Cela entraîne un déni de service (DoS) en interrompant les connexions et en surchargeant les journaux système avec des traces d'appels (stack traces), ce qui impacte la disponibilité. Comme aucun privilège particulier ni interaction utilisateur n'est requis, l'attaque est facile à exécuter dès lors que l'attaquant connaît un chemin statique valide.