Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-94
  • CWE-116

CVE-2026-63471

fastapi-code-generator: OpenAPI yol girdisiyle uzaktan kod çalıştırma

koxudaxi fastapi-code-generator

Kritik 9,3 CVSS 4.0
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, kötü niyetli bir kişinin sistemleriniz üzerinde komut çalıştırmasına olanak tanıyabilir ve bu da veri sızıntısı veya sistem ele geçirilmesi riskini doğurur. Kullanılan araç sürümünün hemen güncellenmesi önerilir.

ÖzetTürkçe

fastapi-code-generator, OpenAPI dosyalarından FastAPI uygulamaları üreten bir araçtır. 0.8.1 öncesi sürümlerde, OpenAPI yolu üretilen @app.get(...) dekoratörüne tek tırnaklı bir metin olarak eklenir ve içindeki tırnaklar kaçışlanmaz. Saldırgan kontrolündeki veya etkisindeki bir OpenAPI yolu, metni kapatıp dekoratörün argümanına geçerli bir Python ifadesi enjekte edebilir. Bu sorun, OpenAPI dosyası üreten veya düzenleyen herkesi ve bu aracı kullanan geliştirici ve CI süreçlerini etkiler.

Saldırgan ne yapabilir?

Saldırgan, üretilen modül içe aktarıldığında ve dekoratör değerlendirildiğinde uygulamanın veya CI sürecinin ayrıcalıklarıyla keyfi kod çalıştırabilir. Bu, sistem üzerinde tam kontrol, gizli bilgilere erişim veya veri değiştirme anlamına gelebilir.

Kaynaktaki açıklama (İngilizce)

fastapi-code-generator creates FastAPI applications from OpenAPI files. Prior to 0.8.1, the generator inserts an OpenAPI path into a generated @app.get(...) route decorator as a single-quoted generated route string without escaping embedded quotes. An attacker-controlled or attacker-influenced OpenAPI path can close the string and inject a valid Python expression into the decorator argument. Syntax-breaking input only causes generation to fail, but syntactically valid generated code executes with the application's or CI process's privileges when the generated module is imported and the decorator is evaluated. This OpenAPI path sink is distinct from the project's separate operation-summary docstring and additional-response-key sinks. This issue is fixed in version 0.8.1.

Ne yapmalı?

  1. fastapi-code-generator aracını 0.8.1 veya daha yeni bir sürüme yükseltin. Üretici
  2. Sürüm yükseltilene kadar güvenilmeyen kaynaklardan gelen OpenAPI dosyalarıyla kod üretmeyin. Genel öneri
  3. Üretilen modülleri içe aktarmadan veya çalıştırmadan önce yol tanımlarını ve dekoratör satırlarını inceleyin. Genel öneri

Ek önlemler

  • Kod üretim ve CI işlemlerini, gizli bilgilere ve üretim ortamına erişimi olmayan ayrıcalıksız bir ortamda çalıştırın. Genel öneri
  • Üretilen kodda beklenmedik tırnak, parantez veya çağrı içeren dekoratör satırlarını otomatik tarama ile izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
koxudaxi fastapi-code-generator < 0.8.1 0.8.1

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.