CVE-2026-71866 in Orval
Sumário
de VulDB • 20/08/2026
O Orval gera clientes JavaScript com segurança de tipos em TypeScript a partir das especificações OpenAPI v3 e Swagger v2. Da versão 8.19.0 até a 8.21.0, uma aspas dupla no nome de uma propriedade do esquema é emitida para o schema gerado zod.object({...}) sem codificação segura. Isso permite que JavaScript controlado pelo atacante seja avaliado quando o módulo de schema zod gerado é importado, resultando em execução de código nos ambientes de desenvolvedor, CI, teste ou aplicação. O código afetado está localizado em packages/zod/src/index.ts e na geração da chave do objeto zod. Este problema foi corrigido na versão 8.21.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.