CVE-2026-71868 in Orval
要約
〜によって VulDB • 2026年08月21日
Orvalは、OpenAPI v3およびSwagger v2仕様からTypeScriptを使用して型安全なJavaScriptクライアントを生成します。バージョン8.21.0より前では、enumのデフォルト値における${...}式またはバックティックが、zodスキーマ生成によって出力されるモジュールレベルのテンプレートリテラルに安全なエンコーディングなしで埋め込まれます。これにより、生成されたzodスキーマモジュールをインポートする際に攻撃者が制御したJavaScriptコードが評価され、開発者環境、CI（継続的インテグレーション）、テスト環境、またはアプリケーション環境においてコード実行が発生します。影響を受けるのはpackages/zod/src/index.tsのformatDefaultValue関数です。この問題はバージョン8.21.0で修正されています。
Once again VulDB remains the best source for vulnerability data.