openapi-typescript-codegen: Code-Injection über Handlebars-Templates

Zusammenfassung

Die npm-Bibliothek openapi-typescript-codegen erzeugt TypeScript-API-Clients aus OpenAPI-Dokumenten. Nicht escapte Werte in den Handlebars-Templates ermöglichen eine Code-Injection (CWE-94). Ein Angreifer, der ein OpenAPI-Dokument kontrolliert, kann so beliebiges JavaScript ausführen, sobald ein generierter Client importiert oder eine Service-Methode aufgerufen wird. CVSS 4.0 bewertet die Lücke mit 9.3 (Critical); einzelne Spiegelungen nennen CVSS 3.1 mit 9.8. Das Paket wird nicht mehr gepflegt, und eine korrigierte Version wurde nicht gefunden.

Betroffen

• ferdikoomen openapi-typescript-codegen: alle Versionen bis und mit 0.31.0

Behoben in

Unbekannt. Keine korrigierte Version gefunden. 0.31.0 ist auf npm weiterhin die neueste Version.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Clients nur aus OpenAPI-Dokumenten generieren, die Sie selbst erstellt haben oder vollständig kontrollieren.
• In CI-Pipelines nicht aus Spezifikationen von Drittanbietern oder öffentlichen Spec-URLs generieren.
• Bestehende generierte Clients auf unerwarteten Code in Pfad-Strings, Server-URLs und Versionsfeldern prüfen.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden; kein Eintrag im CISA-KEV-Katalog gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Eine Spiegelung verweist auf einen öffentlichen Exploit-Eintrag; dessen Inhalt ist nicht verifiziert.
• EPSS 0.00415 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).

Unsere Empfehlung

• Projekte inventarisieren, die openapi-typescript-codegen verwenden, inklusive CI-Pipelines.
• Keine Clients mehr aus unvertrauenswürdigen oder externen OpenAPI-Dokumenten generieren.
• Migration zu @hey-api/openapi-ts planen, wie vom Hersteller empfohlen.
• Generierten Code im Projekt auf verdächtige Inhalte prüfen.
• Auf eine korrigierte Version oder weitere Advisories achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Zombie-Kaiser/CVE-2026-108551-POC

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-108551 osv.dev
• CVE record mirror (Vulners) vulners.com
• GitHub repository (vendor notice) github.com
• GitHub issue #2809 github.com
• OpenAPI.hbs template at v0.31.0 github.com
• npm package page www.npmjs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:36.