JVNDB-2026-015955

マイクロソフトのKiotaにおけるコードインジェクションの脆弱性

KiotaはOpenAPIベースのHTTPクライアントコードジェネレーターです。1.31.1以前のバージョンは、複数のライターシンク（例えば、シリアライズ/デシリアライズのキー、パス／クエリパラメータのマッピング、URLテンプレートのメタデータ、列挙型／プロパティのメタデータ、およびデフォルト値の出力）におけるコード生成のリテラルインジェクションの脆弱性の影響を受けます。OpenAPI記述からの悪意のある値が適切なエスケープなしで生成されたソースに出力されると、攻撃者は文字列リテラルを抜け出して追加のコードを生成されたクライアントに注入する可能性があります。この問題は、生成に使用されるOpenAPI記述が信頼できないソースからのものである場合、または通常は信頼されているOpenAPI記述が改ざんされている場合にのみ実際的に悪用されます。信頼できる完全性保護されたAPI記述からの生成のみがリスクを大幅に低減します。この問題を解決するには、Kiotaを1.31.1以降にアップグレードし、予防措置として既存の生成済みクライアントを再生成し、更新してください。生成済みクライアントを更新することで、以前生成された脆弱なコードが強化された出力に置き換えられます。

マイクロソフト

• Kiota 1.31.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : CVE Advisory (CVE-2026-41134): Code Generation Literal Injection in Kiota  Advisory  microsoft/kiota  GitHub

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-41134

1. National Vulnerability Database (NVD) : CVE-2026-41134

• [2026年05月18日]
    掲載