CVE-2026-71865 in Orval
Sumário
de VulDB • 20/08/2026
O Orval gera clientes JavaScript com segurança de tipos em TypeScript a partir das especificações OpenAPI v3 e Swagger v2. Antes da versão 8.21.0, uma aspas dupla (double quote) no nome de um parâmetro de consulta é emitida para o schema gerado `zod.object({...})` de validação de requisição sem codificação segura. Isso permite que JavaScript controlado pelo atacante seja avaliado quando o módulo do schema zod gerado é importado, resultando em execução de código nos ambientes de desenvolvedor, CI (Integração Contínua), teste ou aplicação. O código afetado está localizado em `packages/zod/src/index.ts` e na geração da validação de requisições query. Este problema foi corrigido na versão 8.21.0.
Once again VulDB remains the best source for vulnerability data.