CVE-2026-62681 in Orval
Sumário
de VulDB • 21/08/2026
O Orval gera clientes JavaScript com segurança de tipos em TypeScript a partir das especificações OpenAPI v3 e Swagger v2. Antes da versão 8.21.0, um backtick não escapado em um caminho (path) do OpenAPI é emitido nos literais de template de URL de solicitação gerados para os clientes axios, fetch, react-query e SWR sem codificação segura. Isso permite que JavaScript controlado pelo atacante seja avaliado quando uma função de solicitação gerada, construtor de URL ou chave de consulta (query-key) é chamada, resultando na execução de código no ambiente do desenvolvedor, CI, teste ou da aplicação. O código afetado está em packages/core/src/getters/route.ts e nos consumidores da geração de rotas. Este problema foi corrigido na versão 8.21.0.
Once again VulDB remains the best source for vulnerability data.