CVE-2025-30153
CVE-2025-30153 · Improper Handling of Highly Compressed Data (Data Amplification) in github.com/getkin/kin-openapi/openapi3filter
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
kin-openapi is a Go project for handling OpenAPI files. Prior to 0.131.0, when validating a request with a multipart/form-data schema, if the OpenAPI schema allows it, an attacker can upload a crafted ZIP file (e.g., a ZIP bomb), causing the server to consume all available system memory. The root cause comes from the ZipFileBodyDecoder, which is registered automatically by the module (contrary to what the documentation says). This vulnerability is fixed in 0.131.0.
CVSS 7.5 · Высокий · EPSS 0,6% · Есть исправление
- Опубликовано
- Обновлено
Стек: system
Затронутые продукты и версии
kin-openapi
- Версии
- < 0.131.0: Затронуто
Нет опубликованного исправления
golang-github-getkin-kin-openapi Debian:12
- Версии
- 0.110.0-1
- 0.117.0-1
- 0.118.0-1
- 0.120.0-1
- 0.122.0-1
- 0.122.0-2
- 0.122.0-3
- 0.123.0-1
- 0.124.0-1
- 0.135.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
golang-github-getkin-kin-openapi Debian:13
- Версии
- 0.124.0-1
- 0.135.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
golang-github-getkin-kin-openapi Debian:14
- Версии
- 0.124.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: < 0.135.0-1
Обновитесь до 0.135.0-1
golang-github-getkin-kin-openapi Ubuntu:22.04:LTS
- Версии
- 0.32.0-2
- 0.80.0-1
- 0.85.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
golang-github-getkin-kin-openapi Ubuntu:24.04:LTS
- Версии
- 0.117.0-1
- 0.120.0-1
- 0.122.0-3
- 0.123.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
golang-github-getkin-kin-openapi Ubuntu:26.04:LTS
- Версии
- 0.124.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
Первоисточники
- https://github.com/getkin/kin-openapi/security/advisories/GHSA-wq9g-9vfc-cfq9
- https://github.com/getkin/kin-openapi/commit/67f0b233ffc01332f7d993f79490fbea5f4455f1
- https://github.com/getkin/kin-openapi/blob/6da871e0e170b7637eb568c265c08bc2b5d6e7a3/openapi3filter/req_resp_decoder.go#L1275
- https://github.com/getkin/kin-openapi/blob/6da871e0e170b7637eb568c265c08bc2b5d6e7a3/openapi3filter/req_resp_decoder.go#L1523
- https://github.com/getkin/kin-openapi?tab=readme-ov-file#custom-content-type-for-body-of-http-requestresponse
- https://nvd.nist.gov/vuln/detail/CVE-2025-30153