Enrik Mustafa

datamodel-code-generator before 0.84.0 contains a code injection vulnerability that allows attackers to achieve arbitrary code execution by supplying a malicious JSON Schema with a crafted x-python-type annotation containing a string ast.Constant node in a subscript slice position, which bypasses validation in parse python type annotation and python type expr from ast. Attackers can embed malicious Python expressions such as import calls within quoted string literals in the generated source code, which Pydantic v2 evaluates as a ForwardRef via eval() during model rebuild(), resulting in arbitrary code execution on developer workstations, CI/CD pipelines, or applications that generate and import the produced models at runtime.

O gerador @orval/hono não escapa valores de caminho do OpenAPI em literais de rota com aspas simples. Isso permite que um invasor crie um documento OpenAPI contendo um apóstrofo em um segmento de caminho estático, resultando na injeção de código JavaScript arbitrário que é executado quando o módulo TypeScript gerado é importado.

O gerador @orval/effect converte inadequadamente os padrões do esquema OpenAPI em template literals. Isso permite a injeção de código, onde expressões JavaScript arbitrárias usando a sintaxe `${...}` podem ser executadas no escopo do módulo durante o processo de build ou importação do código gerado.

O gerador de fábrica @orval/core não escapa valores padrão de data em chamadas `new Date()`. Isso permite que atacantes injetem expressões arbitrárias por meio de apóstrofos em padrões de esquema OpenAPI, resultando na execução de código com os privilégios do processo consumidor. Este problema ocorre quando as opções `factoryMethods` e `useDates` estão habilitadas.

O software falha ao escapar chaves de media-type do OpenAPI ao emiti-las em literais de string Content-Type com aspas simples no código gerado. Isso permite que atacantes injetem JavaScript por meio de chaves de media-type manipuladas em especificações OpenAPI, que são executadas quando operações de fetch geradas ou resolutores de mock são invocados.

Um problema de injeção de código existe no serializador de form-data. O componente falha ao escapar nomes de propriedades multipart em literais de modelo gerados. Isso permite que atacantes injetem expressões `${...}` em nomes de propriedades de esquema OpenAPI, que são então executadas como interpolação ativa quando o cliente gerado constrói corpos de FormData usando os privilégios do processo do consumidor.

O software falha ao escapar o parâmetro `operationId` ao emiti-lo em objetos de metadados de opções de mutador do TanStack Query gerados. Isso permite que atacantes injetem código JavaScript arbitrário por meio de um `operationId` manipulado em uma especificação OpenAPI, que é executado quando os hooks gerados são chamados.

Um problema de falta de autorização existe no endpoint 'drafts'. Isso permite que um usuário autenticado com baixos privilégios ignore as verificações de função e permissão para criar rascunhos de postagens. Ao utilizar apenas a autenticação de sessão, um invasor pode enviar requisições para o endpoint 'drafts' para criar rascunhos não autorizados que aparecem na fila de rascunhos administrativos.