CVE-2026-71868 in Orval
Riassunto
di VulDB • 20/08/2026
Orval genera client JavaScript type-safe in TypeScript a partire da specifiche OpenAPI v3 e Swagger v2. Prima della versione 8.21.0, un'espressione ${...} o un backtick (virgoletta inversa) presente nel valore predefinito di un enum viene emesso all'interno di una template literal a livello di modulo generata dalla creazione dello schema zod, senza un'encoding sicuro. Ciò consente la valutazione di JavaScript controllato dall'attaccante quando il modulo dello schema zod generato viene importato, con conseguente esecuzione di codice nell'ambiente dello sviluppatore, CI, test o applicazione. Il codice interessato è la funzione formatDefaultValue nel file packages/zod/src/index.ts. Questo problema è stato risolto nella versione 8.21.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.