Veille sécuritéBackend & données
P3Critique
fastapi-code-generator insère un chemin OpenAPI dans le décorateur de route généré sans échapper les guillemets. Un chemin contrôlé ou influencé par un attaquant peut fermer la chaîne et injecter une expression Python exécutée à l’importation du module ; les versions antérieures à 0.8.1 sont concernées.
FastAPIPython
IdentifiantCVE-2026-63471
GravitéCritique
Exploitationnon connue / non déterminée
Correctif0.8.1
Source : NVD — CVE-2026-63471
Analyse technique
Le chemin est placé dans l’argument de décorateur `@app.get(…)` sous forme de chaîne Python simple non échappée. L’expression injectée s’exécute lors de l’importation du module généré.
Impact, versions et correctif
Événement datéLa fiche NVD publie la vulnérabilité le 2026-11-03 à 20:18:15.753Z, dans la période demandée ; sa mise à jour ultérieure à 20:31:38.783Z reste également dans cette période.
ImpactL’importation du module généré peut exécuter du code Python avec les privilèges de l’application ou du processus CI.
Versions affectées< 0.8.1
Version corrigée0.8.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-11-03T20:18:15.753Z
Mise à jour2026-11-03T20:31:38.783Z
Action recommandée
Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure ; ne pas importer du code généré à partir de documents OpenAPI non fiables avant la mise à niveau.
Sources
Priorisation DFS : P3 · 1 source(s).