CVE-2026-59861
Açıklama
Kiota, OpenAPI tabanlı bir HTTP İstemci kod oluşturucudur. 1.29.1 ve 1.32.0 sürümlerinden önce, Kiota'nın Ruby oluşturucusu; OpenAPI varsayılan alanlarını, özellik adlarını ve şemadan türetilen diğer dizgileri CodeMethodWriter.cs ve Writers/StringExtensions.cs içindeki SanitizeForQuotedLiteral() aracılığıyla, # karakterini kaçırmadan Ruby çift tırnaklı sabitlerine yerleştiriyordu. Bu durum, saldırgan tarafından kontrol edilen #{expr}, #$var veya #@var interpolasyon işaretçilerinin, oluşturulan model sınıflarına rastgele Ruby kodu enjekte etmesine olanak tanıyordu. Bu sorun 1.29.1 ve 1.32.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- Microsoft.OpenAPI.Kiota1.32.0 ya da sonraki bir sürüm
- Microsoft.OpenAPI.Kiota.Builder1.32.0 ya da sonraki bir sürüm
- Microsoft.OpenApi.Kiota1.29.1 ya da sonraki bir sürüm
- Microsoft.OpenApi.Kiota.Builder1.29.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Microsoft.OpenAPI.KiotaNuGet | 1.30.0 ≤ v < 1.32.0 | 1.32.0 |
| Microsoft.OpenAPI.Kiota.BuilderNuGet | 1.30.0 ≤ v < 1.32.0 | 1.32.0 |
| Microsoft.OpenApi.KiotaNuGet | v < 1.29.1 | 1.29.1 |
| Microsoft.OpenApi.Kiota.BuilderNuGet | v < 1.29.1 | 1.29.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.