Descripción
fastapi-code-generator crea aplicaciones FastAPI a partir de archivos OpenAPI. En versiones anteriores a la 0.8.1, el generador inserta una clave adicional de código de estado de respuesta en el diccionario responses={...} del decorador de ruta generado como una cadena Python entre comillas simples, sin escapar las comillas incrustadas. Una operación OpenAPI con múltiples respuestas, cuya segunda clave de respuesta no principal esté controlada o influenciada por un atacante, puede cerrar el literal de la clave del diccionario e inyectar una expresión Python válida. Una entrada que rompa la sintaxis solo provoca que la generación falle, pero el código generado sintácticamente válido se ejecuta con los privilegios de la aplicación o del proceso de CI cuando se importa el módulo generado y se evalúan los argumentos de su decorador. Este punto de inyección de clave de respuesta adicional es distinto de los puntos de inyección de ruta y de resumen de operación del proyecto. Este problema está corregido en la versión 0.8.1.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- fastapi-code-generator Afectadas: < 0.8.1
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/koxudaxi/fastapi-code-generator/security/advisories/GHSA-6…
- Referencia en github.comgithub.com/koxudaxi/fastapi-code-generator/commit/49301dbdb82170d7f50…
- Referencia en github.comgithub.com/koxudaxi/fastapi-code-generator/commit/b3b9bd66e0b0c4d8c68…
- Referencia en github.comgithub.com/koxudaxi/fastapi-code-generator/releases/tag/0.8.1
Ver el texto original en inglés (CVE.org)
fastapi-code-generator: Import-time RCE via response status-code key -> unescaped @app.get(..., responses={...}) dict
fastapi-code-generator creates FastAPI applications from OpenAPI files. Prior to 0.8.1, the generator inserts an additional response status-code key into the generated responses={...} route-decorator dictionary as a single-quoted Python string without escaping embedded quotes. A multi-response OpenAPI operation with an attacker-controlled or attacker-influenced second non-primary response key can close the dictionary-key literal and inject a valid Python expression. Syntax-breaking input only causes generation to fail, but syntactically valid generated code executes with the application's or CI process's privileges when the generated module is imported and its decorator arguments are evaluated. This additional-response-key sink is distinct from the project's separate route-path and operation-summary sinks. This issue is fixed in version 0.8.1.