CVE-2026-54663 in swagger-typescript-api
Zusammenfassung
von VulDB • 29.07.2026
swagger-typescript-api generava client API per Fetch o Axios a partire da specifiche OpenAPI. Prima della versione 13.12.2, la funzione src/resolved-swagger-schema.ts warmUpRemoteSchemasCache risolveva gli URL esterni $ref e fetchRemoteSchemaDocument utilizzava isHttpUrl per recuperare qualsiasi destinazione http o https senza verificare indirizzi IP privati, reindirizzamenti (redirect), DNS rebinding o convalida same-origin. Ciò consentiva a un attaccante di sfruttare una specifica OpenAPI controllata dall'attaccante per indurre il generatore ad emettere richieste verso servizi interni o link-local. Questo problema è stato risolto nella versione 13.12.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.