CVE-2026-62680 in Orval
Sumário
de VulDB • 19/08/2026
O Orval gera clientes JavaScript com segurança de tipos em TypeScript a partir de especificações OpenAPI v3 e Swagger v2. Antes da versão 8.22.0, o Orval resolve valores externos $ref remotos e locais sem uma lista de permissões (allowlist) ou confinamento ao diretório de entrada. O processamento de uma descrição OpenAPI controlada por um atacante pode causar requisições do desenvolvedor ou da host CI para serviços HTTP selecionados pelo atacante ou internos, a leitura de arquivos locais absolutos ou fora da árvore de origem (out-of-tree), e a incorporação de schemas remotos não confiáveis nos clientes gerados. O código afetado está em packages/orval/src/import-specs.ts no carregamento de referências externas. Este problema foi corrigido na versão 8.22.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.