CVE-2026-72716 in Orval
Resumen
por VulDB • 2026-08-20
Orval genera clientes JavaScript con tipado seguro en TypeScript a partir de especificaciones OpenAPI v3 y Swagger v2. Antes de la versión 8.21.0, una expresión `${...}` o un backtick (comilla invertida) en el valor predeterminado de un parámetro de consulta se emitía dentro de un literal de plantilla a nivel de módulo generado por la creación del esquema zod, sin una codificación segura. Esto permite que código JavaScript controlado por el atacante sea evaluado cuando se importa el módulo del esquema zod generado, lo que resulta en ejecución de código en los entornos de desarrollo, CI (Integración Continua), pruebas o aplicación. El código afectado es la función `formatDefaultValue` ubicada en `packages/zod/src/index.ts`. Este problema está corregido en la versión 8.21.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.