CVE-2023-27162
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
W narzędziu openapi-generator do wersji 6.4.0 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie /api/gen/clients/{language}. Umożliwia ona atakującemu dostęp do zasobów sieciowych i poufnych informacji poprzez spreparowane żądanie API.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do skanowania wewnętrznej sieci organizacji, uzyskania dostępu do chronionych usług lub kradzieży wrażliwych danych, co może prowadzić do naruszenia bezpieczeństwa i utraty poufności.
Rekomendacja
Należy niezwłocznie zaktualizować openapi-generator do wersji nowszej niż 6.4.0, w której podatność została załatana. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do endpointu /api/gen/clients/{language} tylko dla zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
openapi-generator up to v6.4.0 was discovered to contain a Server-Side Request Forgery (SSRF) via the component /api/gen/clients/{language}. This vulnerability allows attackers to access network resources and sensitive information via a crafted API request.