CVE-2026-119028

WysokieCVSS 8.8

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

Narzędzie oapi-codegen w wersjach od 2.0.0 do 2.8.1 zawiera podatność typu code injection, która pozwala atakującym wstrzyknąć kod Go poprzez dostarczenie nie-literałowych wpisów enum w schematach integer, number lub boolean. Atakujący kontrolujący dokument OpenAPI może stworzyć wpis enum, który zamyka blok const w constants.tmpl i wstrzykuje func init(), wykonując kod podczas budowania i importowania wygenerowanego pakietu.

Ocena ryzyka

Atakujący może wykonać dowolny kod Go w kontekście aplikacji ofiary, co może prowadzić do przejęcia kontroli nad systemem lub kradzieży danych.

Rekomendacja

Zaktualizuj oapi-codegen do wersji 2.8.1 lub nowszej, aby wyeliminować podatność.

Inne podatności w oapi-codegen

CVE-2026-119027Wysokie
Narzędzie oapi-codegen w wersjach od 2.5.0 do 2.8.1 zawiera podatność typu code injection, która pozwala atakującym wstrzyknąć kod Go poprzez spreparowaną wartość servers[].x-go-name, która jest emitowana bez escapowania przez szablon server-urls. Atakujący kontrolujący dokument OpenAPI może zdefiniować wstrzykniętą funkcję func init(), która wykonuje się, gdy ofiara buduje i importuje wygenerowany pakiet.

Oryginalny opis (angielski, źródło NVD)

oapi-codegen 2.0.0 before 2.8.1 contains a code injection vulnerability that allows attackers to inject Go code by supplying non-literal enum entries in integer, number, or boolean schemas. Attackers controlling an OpenAPI document can craft an enum entry that closes the const block in constants.tmpl and injects a func init(), executing code when the generated package is built and imported.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS