Refitter: C#-Code-Injection über OpenAPI-Pfadschlüssel in generierten Refit-Clients

Zusammenfassung

Refitter, ein Tool zur Generierung von C#-REST-API-Clients für die Refit-Bibliothek, übernahm OpenAPI-Pfadschlüssel ohne ausreichendes Escaping in Refit-Routenattribute. Ein präpariertes einzeiliges Pfadelement in einer OpenAPI-Spezifikation kann den Attributstring verlassen und eine Klasse auf oberster Ebene mit einer [ModuleInitializer]-Methode einschleusen. Der eingeschleuste Code wird ausgeführt, wenn eine Anwendung die generierte Assembly kompiliert und beim Start lädt, auch wenn der generierte Client nie aufgerufen wird. Die Standardvalidierung blockiert die Nutzlast nicht.

Betroffen

• Refitter-Versionen vor 2.1.2
• Refitter.MSBuild: betroffene Versionen gemäss Herstellerangaben (genauer Bereich unbekannt)

Behoben in

• Refitter 2.1.2 und neuer (Fix in Commit 793d263, PR #1178)

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround; ein Upgrade auf eine korrigierte Version ist erforderlich.

Ausnutzung

• In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden; kein Eintrag im CISA-KEV-Katalog gefunden.
• Der CVE-Eintrag verlinkt öffentliche Reproducer-Dateien; deren Status ist nicht verifiziert.

Unsere Empfehlung

• Refitter und Refitter.MSBuild auf 2.1.2 oder neuer aktualisieren, vorzugsweise auf die neueste stabile Version.
• Alle Clients neu generieren und neu bereitstellen, die mit einer betroffenen Version erzeugt wurden.
• Generierten Code auf unerwartete Pfadzeichenfolgen oder ungewöhnliche Deklarationen auf oberster Ebene prüfen, besonders bei Clients aus externen Spezifikationen.
• Clients nur aus vertrauenswürdigen OpenAPI-Spezifikationen generieren und Änderungen an Pfadschlüsseln in Pull Requests prüfen.
• Wenn eine betroffene Version auf einem Build-Server nicht vertrauenswürdige Spezifikationen verarbeitet hat, dessen Exposition prüfen und Secrets vorsorglich rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-3fhm-p725-h3g3 github.com
• Refitter release 2.1.2 github.com
• Fix commit 793d263 github.com
• Pull request #1178 github.com
• Refitter CHANGELOG github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:43.