Tres fallas críticas de RCE reveladas en fastapi-code-generator, activadas por specs de IA

El 9 de noviembre de 2026, investigadores de seguridad revelaron tres vulnerabilidades críticas de ejecución remota de código (RCE) en fastapi-code-generator, una herramienta de código abierto que convierte una especificación OpenAPI o JSON Schema directamente en una aplicación FastAPI ejecutable. Las fallas se originan en una inyección de cadenas sin escapar en el código Python generado y pueden activarse simplemente entregando a la herramienta una especificación maliciosa, una vía realista cuando las especificaciones son producidas o retransmitidas por un agente de codificación con IA, según el aviso de GitHub Security Advisories sobre CVE-2026-63471.

Qué cambió

• CVE-2026-63471 ("import-time RCE via route path") tiene una calificación CVSS v4.0 de 9.3, nivel crítico
• CVE-2026-63469 ("import-time RCE via response status-code key") comparte la misma causa: inyección de comillas simples sin escapar
• CVE-2026-63470 ("call-time RCE via operation summary") inyecta un campo summary sin escapar en los docstrings generados de los manejadores de ruta, ejecutándose en el momento de la llamada
• CVE-2026-63471 y CVE-2026-63469 se ejecutan en el momento de la importación, por lo que basta con que el servidor ASGI arranque, sin necesidad de ninguna solicitud HTTP
• Las tres afectan a las versiones de fastapi-code-generator desde 0.0.1 hasta 0.8.0 y están corregidas en la versión 0.8.1

Qué significa para quienes construyen con IA

fastapi-code-generator es una pieza común en los flujos de trabajo de backend y generación de código asistidos por IA. La explotación solo requiere la capacidad de influir en la especificación OpenAPI de entrada, no acceso directo al servicio en ejecución, por lo que una especificación controlada por un atacante o producida por un agente de IA puede lograr ejecución remota de código con solo activar la generación de código o la importación, sin necesidad de ninguna solicitud adicional. Los equipos que ejecutan flujos de generación de código agénticos con esta librería deberían tratar la actualización como urgente.

Disponibilidad y próximos pasos

La corrección está disponible en la versión 0.8.1 de fastapi-code-generator. Los proyectos en versiones desde 0.0.1 hasta 0.8.0 están afectados y deberían actualizar de inmediato, en especial donde las especificaciones OpenAPI puedan originarse en un agente de IA o pasar por uno antes de llegar a la generación de código.

Fuentes

• fastapi-code-generator: Import-time RCE via route path (CVE-2026-63471) (GitHub Security Advisories, 9 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.