CVE-2026-59867

Kiota: Generation-time SSRF + remote/local file inclusion via unrestricted $ref

CVSS 3.1High

7.1/ 10.0

Опубликовано

16 июля 2026 г.

Обновлено

17 августа 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.31.1, 1.29.1, 1.32.5

Обновитесь до версий 1.29.1 или 1.32.5, где внедрен AllowedExternalOriginsStreamLoader и добавлен флаг --allowed-external-origins.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В генераторе клиентов Kiota отсутствует ограничение на резолв внешних и локальных ссылок $ref в спецификациях OpenAPI. Это приводит к SSRF и включению произвольных файлов на этапе сборки.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

При выполнении команды kiota generate парсер обрабатывает директивы $ref из недоверенных OpenAPI-спецификаций, загружая внешние ресурсы по HTTP(S) и читая локальные абсолютные пути за пределами рабочего каталога без проверки источника.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Build-time SSRF, LFI и утечка содержимого локальных файлов сервера сборки или внешних схем напрямую в сгенерированный исходный код клиента.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

microsoftkiota

>= 1.30.0➔Fix: 1.31.1

microsoftkiota

все ранние➔Fix: 1.29.1

——

>= 1.30.0➔Fix: 1.32.5

——

>= 1.30.0➔Fix: 1.32.5

——

>= 0➔Fix: 1.29.1

——

>= 0➔Fix: 1.29.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-59867: Kiota: Generation-time SSRF + remote/local file inclusion via unrestricted $ref. URL: https://cve.futuretools.ru/cve/CVE-2026-59867

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_59867,
  title = {{CVE-2026-59867: Kiota: Generation-time SSRF + remote/local file inclusion via unrestricted $ref}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-59867}},
  note = {Оперативный инженерный анализ киберугроз}
}