CVE-2026-48819— Hey API 输入验证错误漏洞
可能的 ATT&CK 技术 1AI
T1190 · Exploit Public-Facing Application影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| hey-api | openapi-ts | < 0.97.3 | affected |
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-48819 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Hey API: `buildClientParams` template: prototype chain substitution via unknown `$<slot>___proto__` key
来源: CVE Program / CVE List V5
Vulnerability Description
Hey API is an ecosystem for turning API specifications into production-ready code. Prior to 0.97.3, dist/clients/core/params.ts ships a runtime template copied into generated SDKs as params.gen.ts, and buildClientParams writes unknown slot-prefixed keys such as $body_, $headers_, $path_, and $query_ directly to the corresponding slot, allowing $query___proto__ alongside a legitimate q field to set params.query through params["query"]["__proto__"] = value, call Object.setPrototypeOf(params.query, value), and expose inherited attacker-controlled keys during for..in iteration. This issue is fixed in version 0.97.3.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
CWE-1321
来源: CVE Program / CVE List V5
Vulnerability Title
Hey API 输入验证错误漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Hey API Hey API是Hey API组织的一款TypeScript接口类型生成工具。 Hey API 0.97.3之前版本存在输入验证错误漏洞，该漏洞源于原型污染（CWE-1321），导致攻击者通过利用buildClientParams将包含$query___proto__的未知slot-prefixed键写入对应槽位，从而在for..in迭代中暴露继承的攻击者可控键。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| hey-api | openapi-ts | < 0.97.3 | - |
二、漏洞 CVE-2026-48819 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-48819 的情报信息
请登录查看更多情报信息。
CVE-2026-48819 补丁与修复 (2)
CVE-2026-48819 厂商安全公告 (1)
CVE-2026-48819 厂商页面 (1)
- 🔗 Release @hey-api/openapi-ts@0.97.3 · hey-api/hey-api · GitHubx_refsource_MISC
IV. Related Vulnerabilities
V. Comments for CVE-2026-48819
暂无评论