CVE-2026-71866 in Orval
Riassunto
di VulDB • 20/08/2026
Orval genera client JavaScript type-safe in TypeScript a partire da specifiche OpenAPI v3 e Swagger v2. Dalla versione 8.19.0 alla 8.21.0, una doppia virgoletta (double quote) presente nel nome di una proprietà dello schema viene emessa nello schema generato `zod.object({...})` senza un'encoding sicura. Ciò consente la valutazione di JavaScript controllato dall'attaccante quando il modulo dello schema zod generato viene importato, risultando in esecuzione di codice nell'ambiente dello sviluppatore, CI, test o applicazione. Il codice interessato è `packages/zod/src/index.ts` e la generazione delle chiavi degli oggetti zod. Questo problema è stato risolto nella versione 8.21.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.