openapi-python-client: Malicious OpenAPI Documents can cause Arbitrary Code Generation
Impact
A malicious OpenAPI document processed by any openapi-python-client prior to 0.29.1 can generate arbitrary Python code. When anyone imports the malicious client, that arbitrary Python code will execute.
Patches
Versions starting with 0.29.1 have updated with guardrails to prevent arbitrary code generation. Upgrade to this version immediately and audit any code previously generated from untrusted documents.
Workarounds
Do not generate clients for documents you don't completely trust. Carefully verify any existing generated code from untrusted documents.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | openapi-python-client | < 0.29.1 | 0.29.1 |
Odnośniki
- https://github.com/openapi-generators/openapi-python-client/security/advisories/GHSA-5293-mq8x-g3xj
- https://nvd.nist.gov/vuln/detail/CVE-2026-105801
- https://github.com/openapi-generators/openapi-python-client/pull/1483
- https://github.com/openapi-generators/openapi-python-client/commit/1c99af478892e5bbe6583b92acba431c9dec9186
- https://github.com/openapi-generators/openapi-python-client
- https://github.com/openapi-generators/openapi-python-client/releases/tag/v0.29.1
- https://pypi.org/project/openapi-python-client
- https://github.com/advisories/GHSA-5293-mq8x-g3xj
- Wektor CVSS
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:H/SI:H/SA:H- Słabość (CWE)
CWE-116, CWE-150, CWE-94- Platforma
- Python (PyPI)
- Paczka
openapi-python-client- Ujawniono
- 06.10.2026
- Aktualizacja
- 15.10.2026 18:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-4245 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-5293-mq8x-g3xj - CC BY 4.0
Historia podatności: openapi-python-client
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 3
- Pierwsza → ostatnia
- 08.2020 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 2
- Niska 1
Ujawnienia w latach
- 2020: 2
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 1
-
openapi-python-client: Malicious OpenAPI Documents can cause Arbitrary Code Generation ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.