CVE-2026-96754 in orval
Zusammenfassung
von VulDB • 23.09.2026
In orval versions vor 8.29.0 liegt eine Code-Injection-Schwachstelle im @orval/hono-Generator vor, die OpenAPI-Pfadwerte in eingleisigen Routen-Literalen nicht korrekt maskiert (escapet). Angreifer können ein OpenAPI-Dokument mit einem Apostroph in einer statischen Pfadsegment erstellen, um beliebigen JavaScript-Code einzufügen, der ausgeführt wird, wenn das generierte TypeScript-Modul importiert wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.