FICHE CVE

CVE-2017-1000207

Publiée le 2017-11-27 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Swagger-Parser (v1.0.30 ou antérieure) et Swagger-codegen (v2.2.2 ou antérieure) sont vulnérables à l'exécution de code à distance lors de l'analyse de fichiers YAML malveillants. Un attaquant peut prendre le contrôle total de votre système s'il parvient à vous convaincre d'exécuter les commandes `generate` ou `validate` sur une spécification Open-API spécialement conçue. Cette attaque ne nécessite ni authentification ni privilèges particuliers, mais elle requiert que l'utilisateur traite manuellement le fichier malveillant.

CVSS 3.08.8 ÉLEVÉE

Type de faiblesse

Désérialisation non sûre · CWE-502

Publiée2017-11-27

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability in Swagger-Parser's version <= 1.0.30 and Swagger codegen version <= 2.2.2 yaml parsing functionality results in arbitrary code being executed when a maliciously crafted yaml Open-API specification is parsed. This in particular, affects the 'generate' and 'validate' command in swagger-codegen (<= 2.2.2) and can lead to arbitrary code being executed when these commands are used on a well-crafted yaml specification.