GHSA-RJWR-M7QX-3FJR

oapi-codegen: OpenAPI Server Description Escapes Generated Go Comment and Injects Executable Code

CVSS 3.1Low

N/A/ 10.0

Опубликовано

17 июля 2026 г.

Обновлено

30 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.7.1

Обновите oapi-codegen до исправленной версии после выпуска официального патча. В качестве временного решения: валидируйте и санитизируйте спецификации OpenAPI, удаляя символы перевода строки из полей `description` перед кодогенерацией, а также проводите обязательный аудит сгенерированного кода.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В генераторе кода oapi-codegen выявлена уязвимость инъекции произвольного Go-кода через поле описания сервера OpenAPI. Отсутствие санитизации символов перевода строки позволяет выйти за пределы сгенерированного комментария.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Точкой входа является параметр OpenAPI `servers[].description`. Генератор URL сервера вставляет непроверенное значение описания напрямую в однострочный комментарий генерируемого Go-файла без экранирования и нормализации символов новой строки (\n). Внедренный перенос строки разрывает комментарий, позволяя внедрять произвольные импорты (разрешаемые через `goimports`) и исполняемые декларации Go.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Генерация вредоносного Go-кода и его последующее выполнение в окружении сборщика или в рантайме скомпилированного сервиса (RCE), если спецификация OpenAPI поступает из недоверенного источника.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 0➔Fix: 2.7.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости GHSA-RJWR-M7QX-3FJR: oapi-codegen: OpenAPI Server Description Escapes Generated Go Comment and Injects Executable Code. URL: https://cve.futuretools.ru/cve/GHSA-RJWR-M7QX-3FJR

BibTeX формат (LaTeX)

@misc{cve_futuretools_ghsa_rjwr_m7qx_3fjr,
  title = {{GHSA-RJWR-M7QX-3FJR: oapi-codegen: OpenAPI Server Description Escapes Generated Go Comment and Injects Executable Code}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-RJWR-M7QX-3FJR}},
  note = {Оперативный инженерный анализ киберугроз}
}