CVE-2026-73851
Kiota: Path traversal in generated plugin manifest static_template.file reference (percent-encoding bypass)
CVSS 3.1Medium
6.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.34.0, 1.29.1
Обновить Kiota до версий 1.29.1, 1.34.0 или более поздних.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Обход каталога (Path Traversal) в генераторе Kiota через поле static_template.file в манифесте плагина.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Отсутствие нормализации путей и обработки URL-encoding в ссылках static_template.file позволяет атакующему указать относительные переходы (../) или абсолютные URI в спецификации OpenAPI.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированное чтение и раскрытие локальных файлов хостовой системы (LFI) за пределами пакета манифеста при обработке сгенерированного кода в AI-среде.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
microsoftkiota
>= 1.30.0➔Fix: 1.34.0
microsoftkiota
все ранние➔Fix: 1.29.1
——
>= 1.30.0➔Fix: 1.34.0
——
>= 0➔Fix: 1.29.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)
- github.comhttps://github.com/microsoft/kiota/security/advisories/GHSA-p5rm-jg5c-8c77
- github.comhttps://github.com/microsoft/kiota/issues/7912
- github.comhttps://github.com/microsoft/kiota/pull/7910
- github.comhttps://github.com/microsoft/kiota/pull/7913
- github.comhttps://github.com/microsoft/kiota/commit/430008e9d700b3fe80f206c672415cfbd8e830e7
- github.comhttps://github.com/microsoft/kiota/commit/de3d18d9fe31ced4ac749728d3a2f94811f59268
- github.comhttps://github.com/microsoft/kiota/releases/tag/v1.29.1
- github.comhttps://github.com/microsoft/kiota/releases/tag/v1.34.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-73851: Kiota: Path traversal in generated plugin manifest static_template.file reference (percent-encoding bypass). URL: https://cve.futuretools.ru/cve/CVE-2026-73851
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_73851,
title = {{CVE-2026-73851: Kiota: Path traversal in generated plugin manifest static_template.file reference (percent-encoding bypass)}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-73851}},
note = {Оперативный инженерный анализ киберугроз}
}