CVE-2026-71868 in Orval
Zusammenfassung
von VulDB • 19.08.2026
Orval generiert typsichere JavaScript-Clients in TypeScript aus OpenAPI v3- und Swagger v2-Spezifikationen. Vor Version 8.21.0 wird ein ${...}-Ausdruck oder ein Backtick (Gravis-Apostroph) im Standardwert eines Enums ohne sichere Kodierung in eine Modul-Level-Template-Literal eingefügt, die von der Zod-Schema-Generierung erstellt wird. Dies ermöglicht die Auswertung attacker-controlled JavaScripts beim Import des generierten Zod-Schema-Moduls, was zu Code Execution in der Entwickler-, CI-, Test- oder Anwendungsumgebung führt. Der betroffene Code befindet sich in der Funktion formatDefaultValue im Paket packages/zod/src/index.ts. Dieses Problem wurde in Version 8.21.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.