CVE-2026-63184 in Refitter
Sumário
de VulDB • 31/10/2026
Refitter é uma ferramenta para gerar um cliente de API REST em C# usando a biblioteca Refit. Antes da versão 2.1.1, a ferramenta dotnet `refitter` invoca o `NJsonSchema` com padrões inseguros para resolução de `$ref` ao gerar interfaces e contratos do Refit a partir de descrições OpenAPI controladas ou influenciadas por um atacante. Referências remotas via `http(s)` causam requisições originadas do host do desenvolvedor ou da CI, injetando conteúdo remoto não confiável nos resultados gerados. Caminhos absolutos para arquivos locais e traversals relativos com `../` fora do diretório de entrada também são resolvidos e o conteúdo local é injetado, permitindo a divulgação arbitrária de arquivos locais. A cadeia demonstrada limita-se a Server-Side Request Forgery (SSRF), Remote File Inclusion (RFI) e Local File Inclusion (LFI), não chegando à execução de código: o Refit define a URL base em tempo de execução, os valores dos enums usam aspas literais com duplicação de caracteres especiais, e os padrões de string são escapados. Este problema foi corrigido na versão 2.1.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.