CVE-2026-72923
Açıklama
OpenAPI.NET SDK, .NET'teki OpenAPI belgeleri için kullanışlı bir nesne modeli ve modelden ham OpenAPI JSON ve YAML belgelerini çıkarmak için yaygın serileştiriciler içerir. Microsoft.OpenApi.Readers 1.6.30 öncesi sürümlerde ve Microsoft.OpenApi.YamlReader 2.0.0-preview.11 ile 2.11.0 arası ve 3.0.0 ile 3.9.0 arası sürümlerde, iç içe geçmiş anchor ve alias içeren bir YAML OpenAPI belgesinin ayrıştırılması kontrolsüz bellek tüketimine neden olabilir. SharpYaml, alias'ları küçük bir yönlü döngüsüz grafikte paylaşılan düğümler olarak temsil eder ancak bağımsız OpenAPI veya System.Text.Json.Nodes.JsonNode ağaçlarına dönüştürme işlemi her alias yolunu çoğaltır; bir düğüm sayısı veya iç içe geçme derinliği sınırı olmadan, k kez referans verilen N adet iç içe geçmiş anchor, k^N materyalleştirilmiş düğüm gerektirebilir ve işlemin bellek yetersizliği (out-of-memory) durumuyla sonlanmasına yol açabilir. Düzeltilen okuyucular, varsayılan olarak materyalleştirmeyi 5.000.000 düğüm ve 64 iç içe geçme derinliği ile sınırlandırır ve bir sınır aşıldığında OpenApiDiagnostic hatası bildirir. Bu güvenlik açığı Microsoft.OpenApi.Readers 1.6.30 ve Microsoft.OpenApi.YamlReader 2.12.0 ve 3.10.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- Microsoft.OpenApi.YamlReader3.10.0, 2.12.0 ya da sonraki bir sürüm
- Microsoft.OpenApi.Readers1.6.30 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Microsoft.OpenApi.YamlReaderNuGet | 3.0.0 ≤ v < 3.10.0, 2.0.0-preview.11 ≤ v < 2.12.0 | 3.10.0, 2.12.0 |
| Microsoft.OpenApi.ReadersNuGet | v < 1.6.30 | 1.6.30 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.