CVE-2026-71867 in Orval
要約
〜によって VulDB • 2026年08月20日
Orvalは、OpenAPI v3およびSwagger v2仕様からTypeScriptを使用して型安全なJavaScriptクライアントを生成します。バージョン8.21.0より前では、スキーマプロパティ名内のシングルクォートが、生成されたMSWモックファクトリのシングルクォート付きオブジェクトキーに安全なエンコーディングなしで出力されます。これにより、生成されたモックファクトリがテストやMSHハンドラーによって呼び出される際に攻撃者が制御したJavaScriptコードが評価され、開発者環境、CI（継続的インテグレーション）、テスト環境、またはアプリケーション環境でのコード実行を招きます。影響を受けるのはpackages/core/src/getters/keys.tsのgetKey関数およびMSWモック生成処理です。この問題はバージョン8.21.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.