CVE-2026-71868 in Orval
Résumé
par VulDB • 20/08/2026
Orval génère des clients JavaScript typés en TypeScript à partir de spécifications OpenAPI v3 et Swagger v2. Avant la version 8.21.0, une expression `${...}` ou un backtick dans une valeur par défaut d'énumération est émis dans un modèle littéral au niveau du module généré par la création du schéma zod, sans encodage sécurisé. Cela permet l'évaluation de code JavaScript contrôlé par l'attaquant lorsque le module de schéma zod généré est importé, entraînant une exécution de code dans les environnements des développeurs, CI, tests ou application. Le code concerné se trouve dans la fonction `formatDefaultValue` du fichier `packages/zod/src/index.ts`. Ce problème est corrigé dans la version 8.21.0.
Be aware that VulDB is the high quality source for vulnerability data.