CVE-2026-72923
Microsoft.OpenApi.YamlReader vulnerable to denial of service via YAML alias expansion
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.10.0, 2.12.0, 1.6.30
Обновить Microsoft.OpenApi.Readers до версии 1.6.30+, а Microsoft.OpenApi.YamlReader до 2.11.1+ или 3.9.1+.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Неконтролируемое потребление памяти при развертывании вложенных YAML-псевдонимов в парсере OpenAPI.NET SDK.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Парсеры Microsoft.OpenApi.Readers и Microsoft.OpenApi.YamlReader при конвертации графа SharpYaml в деревья OpenAPI или JsonNode дублируют пути псевдонимов без лимитов на глубину вложенности и число узлов.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
DoS приложения из-за исчерпания оперативной памяти (OOM) при обработке специально сформированного YAML-документа.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
microsoftOpenAPI.NET
>= 3.0.0➔Fix: 3.10.0
microsoftOpenAPI.NET
>= 2.0.0-preview.11➔Fix: 2.12.0
microsoftOpenAPI.NET
все ранние➔Fix: 1.6.30
——
>= 3.0.0➔Fix: 3.10.0
——
>= 2.0.0-preview.11➔Fix: 2.12.0
——
>= 0➔Fix: 1.6.30
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/microsoft/OpenAPI.NET/security/advisories/GHSA-7pxr-59rr-hqj2
- github.comhttps://github.com/microsoft/OpenAPI.NET/commit/1f9aea9bdcbf4066b59ce33b3bd8f97ed9cb4766
- github.comhttps://github.com/microsoft/OpenAPI.NET/commit/21793261d6860fb6e607b71fd95c0bd320724764
- github.comhttps://github.com/microsoft/OpenAPI.NET/commit/4db9af07d112cdf45170b7a946f956ffe74fa14e
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-72923: Microsoft.OpenApi.YamlReader vulnerable to denial of service via YAML alias expansion. URL: https://cve.futuretools.ru/cve/CVE-2026-72923
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_72923,
title = {{CVE-2026-72923: Microsoft.OpenApi.YamlReader vulnerable to denial of service via YAML alias expansion}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-72923}},
note = {Оперативный инженерный анализ киберугроз}
}