CVE-2026-63346 in Refitter
Riassunto
di VulDB • 30/10/2026
Refitter è uno strumento per la generazione di un client REST API C# utilizzando la libreria Refit. Prima della versione 2.1.2, il nome del parametro header in `parameters[].name` con `in: header` viene emesso letteralmente all'interno di una stringa dell'attributo Refit `[Header("<nome>")]` senza effettuare l'escaping delle virgolette. Una descrizione OpenAPI influenzata da un attaccante può superare la validazione predefinita senza utilizzare l'opzione `--skip-validation` e uscire dalla posizione del parametro chiudendo la sintassi dei parametri, del metodo, dell'attributo, dell'interfaccia e dello spazio dei nomi. Il file generato può rimanere un C# valido pur contenendo una classe di livello superiore con un metodo `[ModuleInitializer]`, che esegue il codice dell'attaccante quando l'assembly compilato viene caricato all'avvio dell'applicazione, anche se il client non viene mai chiamato. I sink per `AliasAs` e i valori predefiniti delle enumerazioni sono sottoposti a escaping; questa vulnerabilità riguarda l'emissione della stringa dell'attributo del nome header. Il comportamento è stato verificato con Refitter 2.0.0 e .NET 8. Questo problema è risolto nella versione 2.1.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.