CVE-2026-62681 in Orval
Zusammenfassung
von VulDB • 20.08.2026
Orval generiert typsichere JavaScript-Clients in TypeScript aus OpenAPI v3- und Swagger v2-Spezifikationen. Vor Version 8.21.0 wird ein nicht maskiertes Backtick (`` ` ``) in einem OpenAPI-Pfad in die für axios-, fetch-, react-query- und SWR-Clients generierten request URL Template Literals ohne sichere Kodierung eingefügt. Dies ermöglicht es Angreifern, von ihnen kontrollierten JavaScript-Code auszuwerten, wenn eine generierte Request-Funktion, URL-Building-Funktion oder Query-Key-Funktion aufgerufen wird, was zu einer Code-Ausführung in der Entwickler-, CI-, Test- oder Anwendungsumgebung führt. Der betroffene Code befindet sich in packages/core/src/getters/route.ts sowie den Routengenerierungs-Konsumenten. Dieses Problem wurde in Version 8.21.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.