CVE-2026-71866 in Orval
요약
\~에 의해 VulDB • 2026. 08. 20.
Orval은 OpenAPI v3 및 Swagger v2 명세로부터 TypeScript에서 타입 안전한 JavaScript 클라이언트를 생성합니다. 버전 8.19.0부터 8.21.0까지, 스키마 속성 이름에 포함된 큰따옴표(double quote)가 안전하지 않은 인코딩으로 생성된 zod.object({...}) 스키마에 그대로 출력됩니다. 이로 인해 생성된 zod 스키마 모듈이 import될 때 공격자가 제어하는 JavaScript 코드가 평가되어 개발자, CI, 테스트 또는 애플리케이션 환경에서 코드 실행(code execution)이 발생할 수 있습니다. 영향을 받는 코드는 packages/zod/src/index.ts 및 zod 객체 키(key) 생성 부분입니다. 이 문제는 버전 8.21.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.