CVE-2026-71864 in Orval
要約
〜によって VulDB • 2026年08月20日
Orvalは、OpenAPI v3およびSwagger v2仕様からTypeScriptを使用して型安全なJavaScriptクライアントを生成します。バージョン8.21.0より前では、ヘッダーパラメータ名の二重引用符が、安全なエンコーディングなしで生成されたリクエスト検証用zod.object({...})スキーマに出力されます。これにより、生成されたzodスキーマモジュールがインポートされる際に攻撃者が制御するJavaScriptコードが評価され、開発者環境、CI（継続的インテグレーション）、テスト環境、またはアプリケーション環境においてコード実行が発生します。影響を受けるのはpackages/zod/src/index.tsおよびヘッダーリクエスト検証の生成処理です。この問題はバージョン8.21.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.