CVE-2026-63345：Refitter 透過 OpenAPI 路徑鍵導致 C# 原始碼注入
CVE-2026-63345 - Refitter: C# source injection through OpenAPI path keys
CVE-2026-63345：Refitter 2.0.0 允許攻擊者在 OpenAPI paths 鍵中注入特殊字元，造成 [ModuleInitializer] 執行任意程式碼。
譯文尚未完整，完整內容請切換至原文。
Refitter 是一個使用 Refit 函式庫生成 C# REST API 客戶端的工具。在 2.1.2 之前，OpenAPI `paths`-object 的鍵會被原樣輸出到 Refit 路由屬性，例如 `[Get(\"\")]`，而不會對引號或字元進行轉義或限制。攻擊者可以利用單行、斜線前置的路徑，繞過預設驗證（即使未使用 `--skip-validation`），並關閉屬性字串、介面與名稱空間，同時引入頂層檔案類別並重新開啟生成結構，以維持有效的 C#。`[ModuleInitializer]` 方法會在應用程式編譯並於啟動時載入生成的元件時執行攻擊者程式碼，即使未呼叫生成的客戶端。列舉型別與預設值的 sink 已被轉義，並非易受攻擊的路徑輸出 sink。此行為已於 Refitter 2.0.0 與 .NET 8 上驗證。此問題已在 2.1.2 版修正。
影響
受影響產品
以下產品受 CVE-2026-63345
漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，資訊也未在下表中呈現。
尚未記錄受影響產品
Common Vulnerability Scoring System（CVE）是用於評估軟體與系統漏洞嚴重性的標準化框架。 我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | 高 | [email protected] |
將 Refitter 升級至 2.1.2 或更高版本，以修復路由屬性中的路徑注入漏洞。
- 將 Refitter 升級至 2.1.2 或更高版本。
- 審查自動產生的 API 客戶端程式碼，檢查是否有惡意注入。
- 確保 API 路徑有適當的輸入驗證。
在此，您將找到一份精選的外部連結清單，提供與CVE-2026-63345相關的深入資訊、實用解決方案和有價值的工具。
雖然 CVE 只識別漏洞的具體例項，CWE 則對可能導致漏洞的常見缺陷或弱點進行分類。CVE-2026-63345 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些模式是描述攻擊者利用 CVE-2026-63345 弱點所採用的常見特徵與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證利用。以下列表為已在 GitHub 上發布的公開利用和概念驗證集合（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為在文章中提及 CVE-2026-63345 漏洞的新聞。
以下表格列出了 CVE-2026-63345 漏洞隨時間所作的變更。
漏洞歷史細節對於瞭解漏洞的演變以及識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更非常有用。
-
收到新 CVE 由 [email protected]
十月. 30, 2026
操作 型別 舊值 新值 新增 說明 Refitter 是一個使用 Refit 函式庫生成 C# REST API 客戶端的工具。在 2.1.2 之前，OpenAPI `paths` 物件鍵會原樣輸出到 Refit 路徑屬性，例如 `[Get(\\"\\")]`，且不會轉義引號或限制字元。攻擊者可利用單行、斜線前置的路徑，在未使用 `--skip-validation` 的情況下通過預設驗證，並能關閉屬性字串、介面與名稱空間，同時引入頂層檔案類別並重新開啟生成結構，以保持合法的 C#。一個 `[ModuleInitializer]` 方法會在應用程式編譯並在啟動時載入生成的程式集時執行攻擊者程式碼，即使未呼叫生成的客戶端。列舉與預設值的輸出已被轉義，並非易受攻擊的路徑輸出。此行為已在 Refitter 2.0.0 與 .NET 8 上驗證。此問題已於 2.1.2 版修復。 新增 CVSS V4.0 AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CWE CWE-94 新增 CWE CWE-1116 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/63xxx/CVE-2026-63345.json">CVE-2026-63345</a> 新增 參考 https://github.com/christianhelle/refitter/commit/793d2632899c2022511dfc15e30725ef69073973 新增 參考 https://github.com/christianhelle/refitter/pull/1178 新增 參考 https://github.com/christianhelle/refitter/releases/tag/2.1.2 新增 參考 https://github.com/christianhelle/refitter/security/advisories/GHSA-3fhm-p725-h3g3 新增 參考 https://github.com/user-attachments/files/29395228/maintainer-report.txt 新增 參考 https://github.com/user-attachments/files/29395229/make_spec.py 新增 參考 https://github.com/user-attachments/files/29395230/reproduce.sh
EPSS 是每日估計在未來 30 天內觀察到利用活動的機率。 以下圖表顯示此漏洞的 EPSS 分數歷史。