CVE-2026-63344 in Refitter
الملخص
بحسب VulDB • 31/10/2026
Refitter هو أداة لتوليد عميل REST API باستخدام مكتبة Refit. قبل الإصدار 2.1.2، يتم إصدار مفاتيح نوع المحتوى (content-type keys) الموجودة في خرائط محتوى `requestBody/responses` حرفياً داخل سلسلة سمة Refit `[Headers("Accept: <ct>", "Content-Type: <ct>")]` دون هروب علامات الاقتباس. يؤدي مفتاح نوع محتوى مُصاغ بعناية ووصف OpenAPI متأثر بهجوم إلى تجاوز التحقق من الصحة الافتراضي بدون استخدام `--skip-validation، مما يسمح بالخروج من سلسلة السمة والواجهة المحيطة ومساحة الاسم (namespace)، ويمكن أن يُدخل فئة ملف على المستوى العلوي مع ترك كود C# مولد صالح. تنفذ طريقة `[ModuleInitializer]` الموجودة في تلك الفئة هجوماً عند تحميل التجميع المُولَّد أثناء بدء تشغيل التطبيق، دون الحاجة إلى استدعاء العميل. تم التحقق من السلوك باستخدام Refitter 2.0.0 و .NET 8. تمت معالجة هذه المشكلة في الإصدار 2.1.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.