Injection de code Python dans les clés de réponse générées par fastapi-code-generator

Veille sécuritéBackend & données

P3Critique

fastapi-code-generator insère une clé de code de réponse secondaire issue du document OpenAPI dans le code généré sans échapper les guillemets. Une entrée contrôlée ou influencée par un attaquant peut ainsi injecter une expression Python exécutée à l’importation du module généré ; les versions antérieures à 0.8.1 sont concernées.

IdentifiantCVE-2026-63469

GravitéCritique

Exploitationnon connue / non déterminée

Correctif0.8.1

Source : NVD — CVE-2026-63469

Analyse technique

Le générateur incorpore la clé de réponse secondaire dans le dictionnaire `responses` du décorateur sous forme de chaîne Python simple non échappée. Le code injecté s’exécute avec les privilèges du processus qui importe le module généré.

Impact, versions et correctif

Événement datéLa fiche NVD publie la vulnérabilité le 2026-11-03 à 20:18:15.420Z, dans la période demandée ; sa mise à jour ultérieure à 20:31:38.783Z reste également dans cette période.

ImpactL’importation du module généré peut exécuter du code Python avec les privilèges de l’application ou du processus CI.

Versions affectées< 0.8.1

Version corrigée0.8.1

ContournementMettre à niveau vers fastapi-code-generator 0.8.1 ou ultérieur ; ne pas importer de code généré depuis des spécifications non fiables.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.3

Publication2026-11-03T20:18:15.420Z

Mise à jour2026-11-03T20:31:38.783Z

Action recommandée

Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure ; traiter les documents OpenAPI non fiables avec prudence jusqu’à la mise à niveau.

Sources

NVD — CVE-2026-63469

Priorisation DFS : P3 · 1 source(s).