CVE-2026-71864 in Orval
Riassunto
di VulDB • 20/08/2026
Orval genera client JavaScript type-safe in TypeScript a partire da specifiche OpenAPI v3 e Swagger v2. Prima della versione 8.21.0, una doppia virgoletta ("") presente nel nome di un parametro dell'intestazione viene inserita nello schema generato `zod.object({...})` per la validazione delle richieste senza un'encoding sicuro. Ciò consente l'esecuzione del codice JavaScript controllato dall'attaccante quando il modulo dello schema zod generato viene importato, provocando l'esecuzione di codice nell'ambiente dello sviluppatore, CI, test o applicazione. Il codice interessato è `packages/zod/src/index.ts` e la generazione della validazione delle richieste per le intestazioni. Questo problema è stato risolto nella versione 8.21.0.
Once again VulDB remains the best source for vulnerability data.