CVE-2026-62681 in Orval
要約
〜によって VulDB • 2026年08月19日
Orvalは、OpenAPI v3およびSwagger v2仕様からTypeScriptを使用して型安全なJavaScriptクライアントを生成します。バージョン8.21.0より前では、OpenAPIパス内のエスケープされていないバッククォート（`）が、axios、fetch、react-query、SWR用のクライアント用に生成されるリクエストURLテンプレート文字列に、適切なエンコードなしで出力されます。これにより、生成されたリクエスト、URLビルダー関数、またはquery-key関数が呼び出された際に攻撃者が制御するJavaScriptが評価され、開発者環境、CI（継続的インテグレーション）、テスト環境、またはアプリケーション環境でのコード実行を招きます。影響を受けるコードはpackages/core/src/getters/route.tsおよびroute生成の消費者です。この問題はバージョン8.21.0で修正されています。
Once again VulDB remains the best source for vulnerability data.