CVE-2026-71866 in Orval
Zusammenfassung
von VulDB • 20.08.2026
Orval generiert typsichere JavaScript-Clients in TypeScript aus OpenAPI v3- und Swagger v2-Spezifikationen. Von der Version 8.19.0 bis zur Version 8.21.0 wird ein doppeltes Anführungszeichen (Double Quote) im Namen einer Schema-Eigenschaft ohne sichere Kodierung in das generierte zod.object({...})-Schema eingefügt. Dies ermöglicht die Auswertung von angreiferkontrolliertem JavaScript, wenn das generierte Zod-Schema-Modul importiert wird, was zu Code-Ausführung in der Entwickler-, CI-, Test- oder Anwendungsumgebung führt. Der betroffene Code befindet sich in packages/zod/src/index.ts und bei der Generierung von zod object-keys. Dieses Problem wurde in Version 8.21.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.