CVE-2021-21363

swagger-codegen, OpenAPI / Swagger tanımınızı ayrıştırarak farklı dillerde dokümantasyon, API istemcileri ve sunucu taslakları oluşturmak için şablon tabanlı bir motor içeren açık kaynaklı bir projedir. swagger-codegen sürüm 2.4.19 öncesinde, Unix benzeri sistemlerde, sistemin geçici dizini o sistemdeki tüm kullanıcılar arasında paylaşılmaktadır. Aynı sistemdeki başka bir kullanıcı, paylaşılan geçici dizinde geçici bir alt dizin oluşturma sürecini gözlemleyebilir ve bu geçici alt dizinin oluşturulmasını tamamlamak için yarış durumuna (race condition) girebilir. Bu zafiyet, `outputFolder` içeriğine bir saldırgan tarafından ekleme yapılabildiği için yerel yetki yükseltmedir. Bu nedenle, bu dizine yazılan kod çalıştırıldığında saldırgan tarafından kontrol edilebilir. Daha fazla ayrıntı için ilgili GitHub Güvenlik Danışmanlığına bakın. Bu zafiyet sürüm 2.4.19 ile düzeltilmiştir. Bunun CVE-2021-21364'ten farklı bir zafiyet olduğunu unutmayın.