广泛使用的 Swagger 规格(今年初重命名为 OpenAPI)发现了高危漏洞,潜在影响到了 Java、PHP、NodeJS 和 Ruby 等流行语言开发的应用。该漏洞允许攻击者远程执行代码,存在于 Swagger Code Generator 中,属于参数注入漏洞,允许攻击者在 Swagger JSON 文件中嵌入代码,使用 Java、PHP、NodeJS 和 Ruby 等语言开发的 Web 应用如果整合了 Swagger API 会受到影响。
Rapid7 研究人员公开了漏洞的技术细节和补丁,该漏洞早在 4 月就在私下披露过了,但 t Rapid7 称没有从 Swagger 维护者那里听到回应。