Injection de code Python via le résumé d’opération dans fastapi-code-generator

Veille sécuritéBackend & données

P3Critique

fastapi-code-generator insère le champ `Operation.summary` dans la docstring du gestionnaire de route généré sans échapper les guillemets triples. Une valeur contrôlée ou influencée par un attaquant peut fermer la docstring et injecter une instruction Python, exécutée lorsque le gestionnaire de route est appelé ; les versions antérieures à 0.8.1 sont concernées.

IdentifiantCVE-2026-63470

GravitéCritique

Exploitationnon connue / non déterminée

Correctif0.8.1

Source : NVD — CVE-2026-63470

Analyse technique

Le champ `Operation.summary` est incorporé tel quel dans une chaîne délimitée par des guillemets triples. Une expression Python injectée dans le corps de la fonction s’exécute au moment de l’appel de la route.

Impact, versions et correctif

Événement datéLa fiche NVD publie la vulnérabilité le 2026-11-03 à 20:18:15.590Z, dans la période demandée ; sa mise à jour ultérieure à 20:31:38.783Z reste également dans cette période.

ImpactL’appel du gestionnaire de route généré peut exécuter du code Python avec les privilèges du serveur.

Versions affectées< 0.8.1

Version corrigée0.8.1

ContournementMettre à niveau vers fastapi-code-generator 0.8.1 ou ultérieur ; ne pas générer de code à partir de spécifications non fiables avec une version affectée.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.3

Publication2026-11-03T20:18:15.590Z

Mise à jour2026-11-03T20:31:38.783Z

Action recommandée

Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure ; éviter de générer et d’exécuter du code à partir de documents OpenAPI non fiables avant la mise à niveau.

Sources

NVD — CVE-2026-63470

Priorisation DFS : P3 · 1 source(s).