CVE-2026-108551: инъекция кода в openapi-typescript-codegen

NVD опубликовала CVE-2026-108551 — критическую уязвимость (CVSS 9.8) в npm-пакете openapi-typescript-codegen, который генерирует TypeScript-клиенты из OpenAPI-документов и скачивается около 600 000 раз в неделю. Из-за неэкранированной подстановки в шаблонах Handlebars злоумышленник может внедрить JavaScript через спецификацию, а исправленной версии не существует — уязвимы все релизы от 0 до 0.31.0.

• CVSS 3.1 — 9.8 Critical, тип CWE-94 (инъекция кода)
• Уязвимы все 109 версий пакета, патча нет
• Атака через servers[0].url, info.version и имена параметров
• Пакет скачивают около 600 000 раз в неделю