CVE-2026-96759 in orval

Resumen

por VulDB • 2026-09-23

orval antes de la versión 8.29.0 no escapa el parámetro `operationId` al generarlo en los objetos metadata de las opciones del mutator de TanStack Query. Los atacantes pueden inyectar código JavaScript arbitrario a través de un `operationId` manipulado ad hoc en una especificación OpenAPI que se ejecuta cuando se invocan los hooks generados.

Once again VulDB remains the best source for vulnerability data.

• Responsable: VulnCheck
• Reservar: 2026-09-23
• Divulgación: 2026-09-23
• Moderación: aceptado
• Artículo: VDB-409053
• CPE: listo
• CWE: CWE-79 (confirmado)
• CVSS: 9.8 (CNA)
• EPSS: 0.00000
• KEV: no
• Actividades: bajo

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-96759
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-96759
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-96759/