La publication initiale de cette alerte HIGH remonte au 16 octobre 2026 à 19h58 UTC. L’incident concerne spécifiquement le paquet go/github.com/getkin/kin-openapi, affectant les versions inférieures ou égales à 0.145.0. Les développeurs utilisant cette bibliothèque doivent prendre connaissance de ce bilan technique immédiatement, car la première version corrigée disponible est la 0.146.0.

Panique nil-pointer dans ValidateResponse

La vulnérabilité répertoriée sous l’identifiant CVE-2026-100349 se manifeste par une erreur de type nil-pointer lors de l’exécution de la fonction ValidateResponse. Cette anomalie survient lorsque le système tente de valider une réponse dont un en-tête est déclaré avec du contenu, mais qui n’est pas correctement initialisé. La base de données des avis GitHub classe cette faille comme étant de sévérité high, associée à la faiblesse CWE-476.

Limites du relevé mono-source

Il convient de noter que l’information repose exclusivement sur le dossier de sourçage consulté. Aucune donnée indépendante n’a été croisée pour confirmer l’étendue réelle de l’exposition ou les impacts opérationnels concrets au-delà de la plage de versions spécifiée. Les mots d’ancrage tels que advisory, database et sévérité structurent cette dépêche factuelle strictement limitée aux faits visibles dans le flux officiel.

Source : GitHub Advisory Database reviewed High/Critical — https://github.com/advisories/GHSA-74vm-87hj-r66f