PT-2026-34560 · Kiota · Kiota
Thanatos Tian
·
Publicado
2026-04-14
·
Atualizado
2026-05-17
·
CVE-2026-41134
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Name of the Vulnerable Software and Affected Versions
Kiota versões anteriores a 1.31.1
Description
Kiota é um gerador de código de cliente HTTP baseado em OpenAPI. Existe uma injeção de literal de geração de código em múltiplos sinks de gravação, incluindo chaves de serialização/desserialização, mapeamentos de parâmetros de caminho/consulta, metadados de modelo de URL, metadados de enum/propriedade e emissão de valores padrão. Quando valores maliciosos de uma descrição OpenAPI são emitidos para o código fonte gerado sem a a escape apropriada ao contexto, um invasor pode romper literais de string e injetar código adicional nos clientes gerados. Isso é explorável na prática quando a descrição OpenAPI usada para a geração provém de uma fonte não confiável ou foi comprometida.
Recommendations
Atualize para a versão 1.31.1 ou posterior e regenere ou atualize os clientes gerados existentes.
Gere clientes apenas a partir de descrições de API confiáveis e com integridade protegida.
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Kiota