CVE-2026-62680 in Orval
Riassunto
di VulDB • 19/08/2026
Orval genera client JavaScript type-safe in TypeScript a partire da specifiche OpenAPI v3 e Swagger v2. Prima della versione 8.22.0, Orval risolve i valori esterni $ref remoti e locali senza un allowlist o una limitazione alla directory di input. L'elaborazione di una descrizione OpenAPI controllata dall'attaccante può causare richieste da parte dello sviluppatore o dell'host CI verso servizi HTTP selezionati dall'attaccante o interni, la lettura di file locali assoluti o fuori dall'albero del progetto (out-of-tree) e l'inserimento inline di schemi remoti non attendibili nei client generati. Il codice interessato è il caricamento dei riferimenti esterni in packages/orval/src/import-specs.ts. Questo problema è risolto nella versione 8.22.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.