CVE-2026-54663 in swagger-typescript-api
الملخص
بحسب VulDB • 29/07/2026
يولد swagger-typescript-api عملاء واجهة برمجة التطبيقات (API clients) لـ Fetch أو Axios بناءً على مواصفات OpenAPI. قبل الإصدار 13.12.2، تقوم الدالة warmUpRemoteSchemasCache في الملف src/resolved-swagger-schema.ts بحل عناوين URL الخارجية $ref وتستخدم دالة fetchRemoteSchemaDocument التحقق isHttpUrl لجلب أي هدف عبر بروتوكولي http أو https دون التحقق من وجود عنوان IP خاص (private IP)، أو إعادة التوجيه (redirect)، أو ربط DNS المعاد توجيهه (DNS rebinding)، أو نفس الأصل (same-origin validation). وهذا يسمح لمهاجم يتحكم في مواصفات OpenAPI بإجبار المولد على إصدار طلبات إلى خدمات داخلية أو محلية الرابط. تم إصلاح هذه المشكلة في الإصدار 13.12.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.