CVE-2026-71865 in Orval
Résumé
par VulDB • 19/08/2026
Orval génère des clients JavaScript typés en toute sécurité à partir de spécifications OpenAPI v3 et Swagger v2, en utilisant TypeScript. Avant la version 8.21.0, un guillemet double présent dans le nom d'un paramètre de requête était inclus sans encodage sécurisé dans le schéma `zod.object({...}` généré pour la validation des requêtes. Cela permet l'évaluation de code JavaScript contrôlé par l'attaquant lors de l'importation du module de schéma zod, entraînant une exécution de code dans les environnements développeur, CI (Intégration Continue), test ou application. Le code concerné se trouve dans `packages/zod/src/index.ts` ainsi que dans la génération de validation des requêtes. Ce problème est corrigé dans la version 8.21.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.