PT-2026-136356
CVE-2026-63470
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
fastapi-code-generator الإصدارات السابقة لـ 0.8.1
الوصف
يقوم البرنامج بإنشاء تطبيقات FastAPI من ملفات OpenAPI. يوجد خلل حيث يقوم المولد بإدراج
Operation.summary في سلسلة توثيقية (docstring) لمعالج مسار تم إنشاؤه كسلسلة نصية ذات علامات اقتباس مزدوجة ثلاثية دون هروب علامات الاقتباس الثلاثية المضمنة. يمكن للمهاجم الذي يمكنه التحكم في ملخص العملية أو التأثير عليه إغلاق السلسلة التوثيقية وحقن بيان تعبير Python صالح في جسم المعالج. بينما تؤدي المدخلات التي تكسر الصيغة النحوية إلى فشل عملية الإنشاء، فإن الكود المحقون الصحيح نحويًا يتم تنفيذه بصلاحيات عملية الخادم عند استدعاء معالج المسار المتأثر.التوصيات
تحديث fastapi-code-generator إلى الإصدار 0.8.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾