CVE-2026-71867 in Orval
Résumé
par VulDB • 20/08/2026
Orval génère des clients JavaScript typés en toute sécurité à partir de spécifications OpenAPI v3 et Swagger v2, en utilisant TypeScript. Avant la version 8.21.0, une apostrophe simple dans le nom d'une propriété du schéma est insérée telle quelle dans les clés d'objet entre guillemets simples des usines de simulation (mock factories) MSW générées, sans encodage sécurisé. Cela permet l'évaluation de code JavaScript contrôlé par un attaquant lorsque la factory simulée générée est appelée par des tests ou un gestionnaire MSW, entraînant une exécution de code dans les environnements du développeur, CI, test ou application. Le code concerné se trouve dans le fichier `packages/core/src/getters/keys.ts`, notamment la fonction `getKey` et la génération des mocks MSW. Ce problème est corrigé dans la version 8.21.0.
Once again VulDB remains the best source for vulnerability data.