PT-2026-50683 · Npm · Swagger-Typescript-Api

CVE-2026-54666 · Publicado 2026-06-18 · Atualizado 2026-07-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas swagger-typescript-api versões anteriores a 13.12.2

Description O swagger-typescript-api não escapa adequadamente as chaves de caminho do OpenAPI ao passá-las através da função parseRouteName() para os templates procedure-call.ejs. Isso permite que um invasor que controle a especificação OpenAPI injete expressões JavaScript maliciosas usando a sintaxe ${...} no cliente de API gerado. Quando um desenvolvedor chama o método gerado afetado, o código injetado é executado com os privilégios totais do processo, podendo levar ao acesso não autorizado a arquivos, exfiltração de dados ou execução remota de código.

Recommendations Atualize o swagger-typescript-api para a versão 13.12.2 ou posterior.

Exploit

Correção

Special Elements Injection

Code Injection

Enumeração de Fraquezas

CWE-74

CWE-94

CWE-1336

Identificadores relacionados

CVE-2026-54666

GHSA-W284-33MX-6G9V

Produtos afetados

Swagger-Typescript-Api

Referências · 10

• 🔥 https://github.com/acacode/swagger-typescript-api/security/advisories/GHSA-w284-33mx-6g9v · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/54xxx/CVE-2026-54666.json · Exploit
• https://github.com/acacode/swagger-typescript-api/releases/tag/v13.12.2 · Nota
• https://github.com/acacode/swagger-typescript-api/commit/306d59acb8ffbb00f953f807b97234b21f51d9de · Nota
• https://github.com/acacode/swagger-typescript-api · Nota
• https://github.com/acacode/swagger-typescript-api/pull/1779 · Nota
• https://osv.dev/vulnerability/GHSA-w284-33mx-6g9v · Aviso do Fabricante
• https://twitter.com/TheGr1ffyn/status/2067532565079351570 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-54666 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-54666 · Nota de Segurança