CVE-2026-54666
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność wstrzykiwania kodu w swagger-typescript-api (przed 13.12.2) występuje w procesie generowania klienta API. Funkcja parseRouteName przekazuje klucze ścieżek OpenAPI do szablonów bez odpowiedniego escapowania interpolacji literałów szablonów JavaScript, co pozwala atakującemu na wstrzyknięcie kodu ${...} w ścieżce, który wykona się przy wywołaniu wygenerowanej metody.
Ocena ryzyka
Atakujący kontrolujący specyfikację OpenAPI może wstrzyknąć złośliwy kod JavaScript, który wykona się w kontekście wygenerowanego klienta API, prowadząc do naruszenia bezpieczeństwa aplikacji.
Rekomendacja
Zaktualizuj swagger-typescript-api do wersji 13.12.2, która zawiera poprawkę escapowania interpolacji w szablonach.
Inne podatności w swagger-typescript-api
Zobacz wszystkie- CVE-2026-54664Wysokie
Podatność wstrzykiwania kodu w swagger-typescript-api (przed 13.12.2) występuje podczas przetwarzania wartości enum w komponentach schematu OpenAPI. Wartości enum są przekazywane do Ts.StringValue bez escapowania przed renderowaniem deklaracji enum TypeScript, co pozwala atakującemu na wstrzyknięcie kodu, który wykona się przy imporcie wygenerowanego modułu.
- CVE-2026-54663Średnie
Podatność w swagger-typescript-api (wersje przed 13.12.2) pozwala atakującemu na wykorzystanie specyfikacji OpenAPI do wysyłania żądań do wewnętrznych lub link-local usług, ponieważ generator nie waliduje poprawnie zewnętrznych adresów URL $ref.
- CVE-2026-54662Wysokie
Podatność wstrzykiwania kodu w swagger-typescript-api (przed 13.12.2) występuje podczas kopiowania adresu URL serwera z OpenAPI do apiConfig.baseUrl. Szablon interpoluje apiConfig.baseUrl bez escapowania, co pozwala atakującemu na wstrzyknięcie kodu TypeScript, który wykona się przy imporcie wygenerowanego modułu klienta fetch.
- CVE-2026-54661Wysokie
swagger-typescript-api przed wersją 13.12.2 nie zabezpiecza interpolacji adresu URL serwera w szablonie axios-http-client.ejs. Atakujący może dostarczyć złośliwą specyfikację OpenAPI, która wstrzyknie kod JavaScript wykonywany podczas tworzenia instancji HttpClient lub Api.
- CVE-2026-54660Wysokie
swagger-typescript-api przed wersją 13.12.2 przekazuje token autoryzacyjny (--authorizationToken) do każdego żądania pobierającego zdalne schematy OpenAPI. Atakujący może wykorzystać złośliwą specyfikację, aby wyciec ten token do zewnętrznego punktu końcowego.
Oryginalny opis (angielski, źródło NVD)
swagger-typescript-api generates API clients for Fetch or Axios from an OpenAPI Specification. Prior to 13.12.2, src/schema-routes/schema-routes.ts passes OpenAPI path keys through parseRouteName to templates/default/procedure-call.ejs and templates/modular/procedure-call.ejs without escaping JavaScript template literal interpolation, allowing an attacker-controlled path containing ${...} to execute when the generated method is called. This issue is fixed in version 13.12.2.