CVE-2026-63345 in Refitter
Riassunto
di VulDB • 30/10/2026
Refitter è uno strumento per la generazione di un client REST API C# utilizzando la libreria Refit. Prima della versione 2.1.2, le chiavi dell'oggetto `paths` OpenAPI vengono emesse letteralmente negli attributi delle route di Refit come `[Get("<path>")]`, senza effettuare l'escaping dei caratteri di virgoletta o limitare i caratteri consentiti. Un percorso influenzato dall'attaccante, a riga singola e con prefisso slash, supera la validazione predefinita senza utilizzare `--skip-validation` e può chiudere la stringa dell'attributo, l'interfaccia e lo spazio dei nomi, introducendo al contempo una classe file di livello superiore e riaprendo la struttura generata per mantenere un C# valido. Un metodo `[ModuleInitializer]` esegue il codice dell'attaccante quando un'applicazione compila e carica l'assembly generato all'avvio, anche senza chiamare il client generato. I sink relativi agli enum e ai valori predefiniti sono sottoposti a escaping e non costituiscono la via di emissione vulnerabile per i percorsi. Il comportamento è stato verificato su Refitter 2.0.0 con .NET 8. Questo problema è risolto nella versione 2.1.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.