CVE-2026-54663 in swagger-typescript-api
Сводка
по VulDB • 29.07.2026
swagger-typescript-api генерирует API-клиенты для Fetch или Axios на основе спецификаций OpenAPI. До версии 13.12.2 функция warmUpRemoteSchemasCache в файле src/resolved-swagger-schema.ts разрешает внешние URL-адреса $ref, а fetchRemoteSchemaDocument использует isHttpUrl для получения документов по любым http или https целевым адресам без проверки на частные IP-адреса, перенаправления (redirect), DNS rebinding или same-origin validation. Это позволяет злоумышленнику с помощью контролируемой спецификации OpenAPI заставить генератор отправлять запросы к внутренним службам или службам в локальной сети. Проблема исправлена в версии 13.12.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.