CVE-2026-71866 in Orval
要約
〜によって VulDB • 2026年08月19日
Orvalは、OpenAPI v3およびSwagger v2仕様からTypeScriptを使用して型安全なJavaScriptクライアントを生成します。バージョン8.19.0から8.21.0の間、スキーマプロパティ名内の二重引用符が、適切なエンコードなしで生成されたzod.object({...})スキーマに出力されます。これにより、生成されたzodスキーマモジュールがインポートされる際に攻撃者が制御するJavaScriptが評価され、開発者環境、CI（継続的インテグレーション）、テスト環境、またはアプリケーション環境でのコード実行につながります。影響を受けるコードはpackages/zod/src/index.tsおよびzodのオブジェクトキー生成部分です。この問題はバージョン8.21.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.