CVE-2026-24132 in orval
Zusammenfassung
von VulDB • 23.05.2026
Orval generiert typsichere JS-Clients (TypeScript) aus beliebigen gültigen OpenAPI v3- oder Swagger v2-Spezifikationen. Versionen 7.19.0 und älter sowie 8.0.0-rc.0 bis 8.0.2 ermöglichen es, dass nicht vertrauenswürdige OpenAPI-Spezifikationen beliebigen TypeScript/JavaScript-Code in generierte Mock-Dateien injizieren, indem das Schlüsselwort `const` auf Schema-Eigenschaften angewendet wird. Diese `const`-Werte werden in den Mock-Scalar-Generator (`getMockScalar` in `packages/mock/src/faker/getters/scalar.ts`) interpoliert, ohne dass eine ordnungsgemäße Escaping- oder typsichere Serialisierung erfolgt. Dies führt dazu, dass angreiferkontrollierter Code sowohl in Schnittstellendefinitionen als auch in faker/MSW-Handlern ausgegeben wird. Die Sicherheitslücke ist in ihrer Auswirkung ähnlich wie die zuvor gemeldete `enum x-enumDescriptions`-Schwachstelle (GHSA-h526-wf6g-67jv), betrifft jedoch einen anderen Codepfad im faker-basierten Mock-Generator und nicht `@orval/core`. Das Problem wurde in den Versionen 7.20.0 und 8.0.3 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.