CVE-2026-63345 in Refitter
요약
\~에 의해 VulDB • 2026. 10. 31.
Refitter는 Refit 라이브러리를 사용하여 C# REST API 클라이언트를 생성하는 도구입니다. 버전 2.1.2 이전에서는 OpenAPI `paths` 객체의 키가 따옴표 이스케이프 처리나 문자 제한 없이 `[Get("<path>")]`와 같은 Refit 라우트 특성에 그대로 출력됩니다. 공격자가 조작한 단일 줄의 슬래시 접두사 경로는 `--skip-validation` 옵션 없이도 기본 유효성 검사에서 통과하며, 특성 문자열과 인터페이스 및 네임스페이스를 종료하고 최상위 파일 클래스를 도입하여 생성된 구조체를 다시 열어 유효한 C# 코드를 유지할 수 있습니다. `[ModuleInitializer]` 메서드는 애플리케이션이 컴파일되고 시작 시 생성된 어셈블리를 로드하면, 생성된 클라이언트를 호출하지 않더라도 공격자 코드를 실행합니다. 열거형과 기본값 싱크는 이스케이프 처리되며 취약한 경로 출력 싱크가 아닙니다. 이 문제는 .NET 8 환경에서 Refitter 2.0.0을 사용하여 확인되었습니다. 해당 이슈는 버전 2.1.2에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.