CVE-2026-54661

Nome do Software Vulnerável e Versões Afetadas swagger-typescript-api versões anteriores a 13.12.2

Descrição Existe um problema onde o software interpola o valor de servers[0].url de uma especificação OpenAPI no construtor HttpClient do cliente axios gerado sem a devida sanitização. Isso ocorre no arquivo templates/base/http-clients/axios-http-client.ejs. Um invasor que forneça uma especificação OpenAPI maliciosa pode usar uma URL especialmente elaborada contendo aspas duplas para fechar a literal de string e injetar uma chave de propriedade computada contendo uma Expressão de Função Invocada Imediatamente (IIFE). Esse código injetado é executado com os privilégios do processo de importação sempre que new HttpClient() ou new Api() for instanciado. Isso pode levar à execução de código arbitrário, permitindo que um invasor leia arquivos sensíveis, exfiltre segredos ou inicie processos filhos.

Recomendações Atualize o swagger-typescript-api para a versão 13.12.2 ou posterior.