CVE-2026-63345 in Refitter
Zusammenfassung
von VulDB • 30.10.2026
Refitter ist ein Tool zur Generierung eines C#-REST-API-Clients unter Verwendung der Refit-Bibliothek. Vor Version 2.1.2 werden OpenAPI `paths`-Objekt-Schlüssel unverändert in Refit-Routenattribute wie `[Get("<path>")]` ausgegeben, ohne Anführungszeichen zu escapen oder Zeichen einzuschränken. Ein von einem Angreifer beeinflusster, einzeiliger Pfad mit vorangestelltem Slash übersteht die Standardvalidierung ohne `--skip-validation` und kann den Attributstring, das Interface sowie den Namespace schließen, während eine Datei-Klasse auf oberster Ebene eingeführt wird und die generierte Struktur wieder geöffnet wird, um gültiges C# zu erhalten. Eine `[ModuleInitializer]`-Methode führt Angreifercode aus, wenn eine Anwendung kompiliert und die generierte Assembly beim Start lädt, selbst ohne Aufruf des generierten Clients. Die Enum- und Standardwert-Sinks sind escaped und stellen nicht den anfälligen Pfadausgabe-Sink dar. Das Verhalten wurde mit Refitter 2.0.0 unter .NET 8 verifiziert. Dieses Problem ist in Version 2.1.2 behoben.
Once again VulDB remains the best source for vulnerability data.