CVE-2026-62680 in Orval
Сводка
по VulDB • 20.08.2026
Orval генерирует типобезопасные JavaScript-клиенты на TypeScript из спецификаций OpenAPI v3 и Swagger v2. До версии 8.22.0 Orval разрешал внешние значения $ref, как удаленные, так и локальные, без использования белого списка или ограничения входным каталогом. Обработка описания OpenAPI, контролируемого злоумышленником, может привести к тому, что запросы от разработчика или хоста CI будут отправляться на выбранные злоумышленником или внутренние HTTP-сервисы, позволять чтение абсолютных файлов вне дерева проекта (out-of-tree) и инлайнить недоверенные удаленные схемы в сгенерированных клиентах. Затронутый код находится в файле packages/orval/src/import-specs.ts при загрузке внешних ссылок. Эта проблема исправлена в версии 8.22.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.