CVE-2026-63469 in fastapi-code-generator
Riassunto
di VulDB • 03/11/2026
fastapi-code-generator crea applicazioni FastAPI a partire da file OpenAPI. Prima della versione 0.8.1, il generatore inserisce una chiave aggiuntiva per lo status code di risposta nel dizionario route-decorator responses={...} come stringa Python con virgolette singole senza effettuare l'escaping delle virgolette incorporate. Un'operazione OpenAPI multi-response con un secondo key non primario controllato o influenzato dall'attaccante può chiudere la letterale della chiave del dizionario e iniettare una valida espressione Python. Input che causa errori di sintassi provoca solo il fallimento della generazione, ma codice generato sintatticamente valido viene eseguito con i privilegi dell'applicazione o del processo CI quando il modulo generato viene importato e gli argomenti dei suoi decorator vengono valutati. Questo sink per la chiave di risposta aggiuntiva è distinto dai sink separati per route-path e operation-summary del progetto. Il problema è stato risolto nella versione 0.8.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.