CVE-2026-59859
Açıklama
Kiota, OpenAPI tabanlı bir HTTP İstemci kod oluşturucudur. 1.29.1 ve 1.32.4 sürümlerinden önce Kiota'nın PHP oluşturucusu; OpenAPI açıklamasını, varsayılan alanları, özellik adlarını ve şemadan türetilen diğer dizgileri, Writers/StringExtensions.cs içindeki SanitizeDoubleQuote() aracılığıyla $ karakterini kaçırmadan PHP çift tırnaklı sabitlerine yerleştiriyordu. Bu durum, saldırgan tarafından kontrol edilen ${...}, $var veya {$obj->prop} interpolasyon yapılarının, oluşturulan model ve istek oluşturucu sınıflarına rastgele PHP kodu enjekte etmesine olanak tanıyordu. Bu sorun 1.29.1 ve 1.32.4 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- Microsoft.OpenApi.Kiota1.32.4, 1.29.1 ya da sonraki bir sürüm
- Microsoft.OpenApi.Kiota.Builder1.32.4, 1.29.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Microsoft.OpenApi.KiotaNuGet | 1.30.0 ≤ v < 1.32.4, v < 1.29.1 | 1.32.4, 1.29.1 |
| Microsoft.OpenApi.Kiota.BuilderNuGet | 1.30.0 ≤ v < 1.32.4, v < 1.29.1 | 1.32.4, 1.29.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.