CVE-2026-72923

OpenAPI.NET SDK, .NET-də OpenAPI sənədləri üçün faydalı obyekt modeli ilə yanaşı, modeldən xam OpenAPI JSON və YAML sənədlərini çıxarmaq üçün ümumi seriyalaşdırıcıları ehtiva edir. Microsoft.OpenApi.Readers-in 1.6.30-dan əvvəlki versiyalarında, həmçinin Microsoft.OpenApi.YamlReader-in 2.0.0-preview.11-dən 2.11.0-a qədər və 3.0.0-dan 3.9.0-a qədər olan versiyalarında, iç-içə anchor və alias-lar olan YAML OpenAPI sənədinin təhlili idarə olunmayan yaddaş istehlakına səbəb ola bilər. SharpYaml alias-ları kiçik yönləndirilmiş asiklik qrafda paylaşılan düyünlər kimi təmsil edir, lakin müstəqil OpenAPI və ya System.Text.Json.Nodes.JsonNode ağaclarına çevrilmə zamanı hər bir alias yolu dublikatlaşdırılır; düyün sayı və ya iç-içəlik dərinliyi limiti olmadan, k dəfə istinad edilən N sayda iç-içə anchor k^N materializə edilmiş düyün tələb edə bilər və yaddaşın dolması (out-of-memory) şərti ilə prosesi dayandıra bilər. Düzəldilmiş oxuyucular standart olaraq materializasiyanı 5,000,000 düyün və 64 dərəcəli iç-içəlik dərinliyi ilə məhdudlaşdırır və limit aşildığında OpenApiDiagnostic xətası bildirir. Bu zəiflik Microsoft.OpenApi.Readers 1.6.30, Microsoft.OpenApi.YamlReader 2.12.0 və 3.10.0 versiyalarında aradan qaldırılıb.