CVE-2026-54661
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
swagger-typescript-api przed wersją 13.12.2 nie zabezpiecza interpolacji adresu URL serwera w szablonie axios-http-client.ejs. Atakujący może dostarczyć złośliwą specyfikację OpenAPI, która wstrzyknie kod JavaScript wykonywany podczas tworzenia instancji HttpClient lub Api.
Ocena ryzyka
Wstrzyknięcie kodu może prowadzić do przejęcia kontroli nad aplikacją kliencką, kradzieży danych lub dalszych ataków na systemy wewnętrzne.
Rekomendacja
Należy natychmiast zaktualizować swagger-typescript-api do wersji 13.12.2 lub nowszej.
Inne podatności w swagger-typescript-api
Zobacz wszystkie- CVE-2026-54666Wysokie
Podatność wstrzykiwania kodu w swagger-typescript-api (przed 13.12.2) występuje w procesie generowania klienta API. Funkcja parseRouteName przekazuje klucze ścieżek OpenAPI do szablonów bez odpowiedniego escapowania interpolacji literałów szablonów JavaScript, co pozwala atakującemu na wstrzyknięcie kodu ${...} w ścieżce, który wykona się przy wywołaniu wygenerowanej metody.
- CVE-2026-54664Wysokie
Podatność wstrzykiwania kodu w swagger-typescript-api (przed 13.12.2) występuje podczas przetwarzania wartości enum w komponentach schematu OpenAPI. Wartości enum są przekazywane do Ts.StringValue bez escapowania przed renderowaniem deklaracji enum TypeScript, co pozwala atakującemu na wstrzyknięcie kodu, który wykona się przy imporcie wygenerowanego modułu.
- CVE-2026-54663Średnie
Podatność w swagger-typescript-api (wersje przed 13.12.2) pozwala atakującemu na wykorzystanie specyfikacji OpenAPI do wysyłania żądań do wewnętrznych lub link-local usług, ponieważ generator nie waliduje poprawnie zewnętrznych adresów URL $ref.
- CVE-2026-54662Wysokie
Podatność wstrzykiwania kodu w swagger-typescript-api (przed 13.12.2) występuje podczas kopiowania adresu URL serwera z OpenAPI do apiConfig.baseUrl. Szablon interpoluje apiConfig.baseUrl bez escapowania, co pozwala atakującemu na wstrzyknięcie kodu TypeScript, który wykona się przy imporcie wygenerowanego modułu klienta fetch.
- CVE-2026-54660Wysokie
swagger-typescript-api przed wersją 13.12.2 przekazuje token autoryzacyjny (--authorizationToken) do każdego żądania pobierającego zdalne schematy OpenAPI. Atakujący może wykorzystać złośliwą specyfikację, aby wyciec ten token do zewnętrznego punktu końcowego.
Oryginalny opis (angielski, źródło NVD)
swagger-typescript-api generates API clients for Fetch or Axios from an OpenAPI Specification. Prior to 13.12.2, templates/base/http-clients/axios-http-client.ejs interpolates servers[0].url from src/code-gen-process.ts into the HttpClient constructor without escaping, allowing an attacker-controlled OpenAPI spec to inject code that executes when new HttpClient() or new Api() is constructed. This issue is fixed in version 13.12.2.