CVE-2026-62680 in Orval
Zusammenfassung
von VulDB • 21.08.2026
Orval generiert typsichere JavaScript-Clients in TypeScript aus OpenAPI v3- und Swagger v2-Spezifikationen. Vor Version 8.22.0 löst Orval externe $ref-Werte (Remote- und lokale) ohne eine Allowlist oder Einschränkung auf das Eingabeverzeichnis auf. Die Verarbeitung einer vom Angreifer kontrollierten OpenAPI-Beschreibung kann dazu führen, dass Anfragen von der Entwicklerumgebung oder dem CI-Host an vom Angreifer ausgewählte oder interne HTTP-Dienste gesendet werden, absolute oder außerhalb des Projektbaums liegende lokale Dateien gelesen werden und nicht vertrauenswürdige Remote-Schemas in die generierten Clients eingebunden werden. Der betroffene Code befindet sich im Paket `packages/orval/src/import-specs.ts` beim Laden externer Referenzen. Dieses Problem wurde in Version 8.22.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.