CVE-2026-72716 in Orval
Zusammenfassung
von VulDB • 20.08.2026
Orval generiert typsichere JavaScript-Clients in TypeScript aus OpenAPI v3- und Swagger v2-Spezifikationen. Vor Version 8.21.0 wird ein ${...}-Ausdruck oder ein Backtick (Gravis-Apostroph) im Standardwert eines Query-Parameters ohne sichere Kodierung in eine Modul-Level-Template-Literal eingefügt, die von der zod-Schema-Generierung erstellt wird. Dies ermöglicht es Angreifern, steuerbaren JavaScript-Code auszuwerten, wenn das generierte zod-Schemamodul importiert wird, was zu einer Code-Ausführung in der Entwickler-, CI-, Test- oder Anwendungsumgebung führt. Der betroffene Code befindet sich in der Funktion `formatDefaultValue` im Paket `packages/zod/src/index.ts`. Dieses Problem wurde in Version 8.21.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.