- Yama var
- Son 7 gün
- CWE-94
- CWE-116
CVE-2026-63470
fastapi-code-generator: Operation summary üzerinden çağrı anında uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, uygulama sunucusunun tamamen ele geçirilmesine yol açabilecek kritik bir risktir. Etkilenen araç kullanılarak üretilmiş uygulamalar, saldırganın kendi kodunu çalıştırmasına izin verebilir. Kısa sürede güncelleme yapılması önerilir.
ÖzetTürkçe
fastapi-code-generator, OpenAPI dosyalarından FastAPI uygulamaları üreten bir araçtır. 0.8.1 öncesi sürümlerde, operasyon özeti (Operation.summary) üretilen route işleyicisinin docstring alanına kaçış karakterleri işlenmeden yerleştirilir; özetteki üçlü çift tırnak docstring'i kapatabilir. Saldırgan kontrolündeki veya etkisindeki bir OpenAPI dosyası, işleyici gövdesine geçerli bir Python ifadesi enjekte edebilir. Etkilenenler, bu aracı 0.8.1 öncesi sürümle kullanan ekiplerdir.
Saldırgan ne yapabilir?
Saldırgan, ilgili route işleyicisi çağrıldığında sunucu sürecinin yetkileriyle keyfi kod çalıştırabilir; bu da sunucunun ele geçirilmesi ve veri sızması/değiştirilmesi anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
fastapi-code-generator creates FastAPI applications from OpenAPI files. Prior to 0.8.1, the generator inserts Operation.summary into a generated route-handler docstring as a triple-double-quoted string without escaping embedded triple quotes. An attacker-controlled or attacker-influenced operation summary can close the docstring and inject a valid Python expression statement into the handler body. Syntax-breaking input only causes generation to fail, but syntactically valid generated code executes with the server process's privileges when the affected route handler is called. This call-time route-handler docstring sink is distinct from the project's separate import-time route-path and additional-response-key sinks. This issue is fixed in version 0.8.1.
Ne yapmalı?
- fastapi-code-generator aracını 0.8.1 veya daha yeni bir sürüme yükseltin. Üretici
- Daha önce bu araçla üretilmiş kodu, yeni sürümle yeniden üretin ve üretilen route işleyicilerindeki docstring alanlarını kontrol edin. Genel öneri
- Güncelleme yapılamayana kadar, güvenilmeyen kaynaklardan gelen OpenAPI dosyalarını bu araçla işlemeyin. Genel öneri
Ek önlemler
- OpenAPI dosyalarının kaynağını doğrulayın ve yalnızca güvenilir kaynaklardan gelen belgeleri işleyin. Genel öneri
- Üretilen uygulama kodunu dağıtımdan önce gözden geçirin ve beklenmeyen ifadeleri arayın. Genel öneri
- Uygulama sunucusunun en az yetkiyle çalışmasını sağlayın ve olağandışı süreç davranışlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| koxudaxi fastapi-code-generator | < 0.8.1 | 0.8.1 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.