CVE-2026-71864 in Orval
Résumé
par VulDB • 19/08/2026
Orval génère des clients JavaScript typés en TypeScript à partir de spécifications OpenAPI v3 et Swagger v2. Avant la version 8.21.0, un guillemet double dans le nom d'un paramètre d'en-tête est émis dans le schéma zod.object({...}) de validation de requête généré sans encodage sécurisé. Cela permet l'évaluation de code JavaScript contrôlé par un attaquant lorsque le module de schéma zod généré est importé, entraînant une exécution de code dans les environnements développeur, CI, test ou application. Le code concerné se trouve dans packages/zod/src/index.ts et la génération de validation des requêtes d'en-tête. Ce problème est corrigé dans la version 8.21.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.