CVE-2026-63325

WysokieCVSS 7.8

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Redocly CLI ułatwia walidację OpenAPI, linting i dokumentację. Przed wersją 2.33.0 @redocly/respect-core i @redocly/cli, polecenie respect dynamicznie ocenia wyrażenia $faker w opisach Arazzo. Złośliwe wyrażenie może przechodzić przez właściwości constructor, prototype lub __proto__ w packages/respect-core/src/modules/context-parser/get-value-from-context.ts, dotrzeć do konstruktora funkcji JavaScript i wykonać dowolny kod, gdy użytkownik przetwarza niezaufany opis. Wykonany kod działa z uprawnieniami procesu CLI i może wykonywać polecenia powłoki lub czytać sekrety CI. Użytkownicy przetwarzający tylko zaufane, samodzielnie napisane przepływy pracy nie są dotknięci. Problem został naprawiony w @redocly/respect-core i @redocly/cli w wersji 2.33.0.

Ocena ryzyka

Atakujący może wykonać dowolny kod w kontekście procesu CLI, co może prowadzić do przejęcia systemu, kradzieży sekretów CI lub innych poważnych naruszeń bezpieczeństwa.

Rekomendacja

Zaleca się natychmiastową aktualizację @redocly/respect-core i @redocly/cli do wersji 2.33.0 lub nowszej oraz unikanie przetwarzania niezaufanych opisów.

Inne podatności w Redocly CLI

CVE-2026-63225Średnie
W wersjach @redocly/cli przed 2.33.2 polecenie split tworzy ścieżki wyjściowe w katalogu --outDir na podstawie niezaufanych nazw komponentów OpenAPI lub AsyncAPI oraz wartości lang w x-codeSamples, nie weryfikując, czy docelowa ścieżka pozostaje w wybranym katalogu. Opis zawierający dosłowne segmenty przejścia ../ w tych polach może spowodować, że polecenie split umieści lub nadpisze pliki poza --outDir.

Oryginalny opis (angielski, źródło NVD)

Redocly CLI makes OpenAPI validation, linting, and documentation workflows easier. Prior to version 2.33.0 of @redocly/respect-core and @redocly/cli, the respect command dynamically evaluates $faker runtime expressions in Arazzo descriptions. A crafted expression can traverse constructor, prototype, or __proto__ properties in packages/respect-core/src/modules/context-parser/get-value-from-context.ts, reach the JavaScript Function constructor, and execute arbitrary code when a user processes an untrusted description. The executed code runs with the privileges of the CLI process and can execute shell commands or read CI secrets. Users processing only trusted, self-authored workflows are not affected. This issue is fixed in @redocly/respect-core and @redocly/cli version 2.33.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS