Refitter: Code-Injection über Header-Parameternamen in generierten Refit-Clients
Zusammenfassung
Refitter generiert C#-REST-API-Clients aus OpenAPI-Beschreibungen. Vor Version 2.1.2 wurden Header-Parameternamen aus der Beschreibung ohne Escaping von Anführungszeichen in den generierten Code geschrieben. Eine präparierte OpenAPI-Beschreibung kann C#-Code einschleusen, der beim Laden der kompilierten Assembly beim Start der Anwendung ausgeführt wird, auch wenn der Client nie aufgerufen wird. Die Standardvalidierung blockiert diese Eingabe nicht, und die Schwachstelle beschränkt sich auf Header-Namen.
Betroffen
- Refitter-Versionen vor 2.1.2
Behoben in
- Refitter 2.1.2
Umgehung
- Unbekannt.
- Clients nicht aus OpenAPI-Beschreibungen generieren, die nicht unter eigener Kontrolle stehen.
- --skip-validation nicht verwenden, da diese Option den Validator für Attributzeichenketten deaktiviert.
Ausnutzung
- In freier Wildbahn: unbekannt.
- Öffentlicher Proof-of-Concept: Anhänge sind in den NVD-Referenzen genannt, wurden aber nicht verifiziert.
- VulDB führt den Status als 0-Day; diese Einstufung wurde nicht verifiziert.
Unsere Empfehlung
- Refitter auf Version 2.1.2 oder neuer aktualisieren.
- Clients nur aus OpenAPI-Beschreibungen generieren, denen vertraut wird.
- Generierte .cs-Dateien vor dem Build auf unerwarteten ModuleInitializer-Code prüfen.
- Codegenerierung in isolierten CI-Jobs ohne Zugriff auf Geheimnisse ausführen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 63a19b0 (refitter) github.com
- Pull Request #1178 (refitter) github.com
- Refitter release 2.1.2 github.com
- GHSA-58x9-vjvp-6mx8 security advisory github.com
- VulDB entry 429437 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:41.
Referenzen der NVD (7)
- https://github.com/christianhelle/refitter/commit/63a19b03699a9c267d6fab5f758ec26484db83a1
- https://github.com/christianhelle/refitter/pull/1178
- https://github.com/christianhelle/refitter/releases/tag/2.1.2
- https://github.com/christianhelle/refitter/security/advisories/GHSA-58x9-vjvp-6mx8
- https://github.com/user-attachments/files/29395048/maintainer-report.txt
- https://github.com/user-attachments/files/29395050/make_spec.py
- https://github.com/user-attachments/files/29395051/reproduce.sh
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.