CVE-2026-96756 in orval
要約
〜によって VulDB • 2026年09月23日
@orval/core のファクトリジェネレーターにおけるコードインジェクションの脆弱性により、new Date() 呼び出し内の日付デフォルト値のエスケープが不十分です。攻撃者は OpenAPI スキーマのデフォルト値に含まれるアポストロフィを通じて任意の式を注入し、factoryMethods および useDates オプションが有効になっている場合、コンシューマープロセスの特権でコードを実行できます。この脆弱性は 8.30.0 より前の orval バージョンに存在します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.