CVE-2026-24132 in orval
요약
\~에 의해 VulDB • 2026. 05. 19.
Orval은 유효한 OpenAPI v3 또는 Swagger v2 사양에서 타입 안전한 JS 클라이언트(TypeScript)를 생성합니다. 버전 7.19.0 이하 및 8.0.0-rc.0부터 8.0.2까지는 신뢰할 수 없는 OpenAPI 사양을 통해 스키마 속성의 const 키워드를 사용하여 생성된 모의(mock) 파일에 임의의 TypeScript/JavaScript를 삽입할 수 있습니다. 이러한 const 값은 적절한 이스케이프 처리나 타입 안전한 직렬화 없이 모의 스칼라 생성기(packages/mock/src/faker/getters/scalar.ts의 getMockScalar)에 삽입되어, 공격자가 제어하는 코드가 인터페이스 정의와 faker/MSSW 핸들러 모두에 출력됩니다. 이 취약점은 이전에 보고된 enum x-enumDescriptions(GHSA-h526-wf6g-67jv)와 영향력이 유사하지만, @orval/core가 아닌 faker 기반 모의 생성기의 다른 코드 경로에 영향을 미칩니다. 이 문제는 버전 7.20.0 및 8.0.3에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.