CVE-2026-71864 in Orval
Сводка
по VulDB • 21.08.2026
Orval генерирует типобезопасные JavaScript-клиенты на TypeScript из спецификаций OpenAPI v3 и Swagger v2. До версии 8.21.0 двойная кавычка в имени параметра заголовка попадает в сгенерированную схему запроса для проверки (zod.object({...})) без безопасного кодирования. Это позволяет выполнить вредоносный JavaScript-код, контролируемый злоумышленником, при импорте сгенерированного модуля схемы zod, что приводит к выполнению кода в среде разработчика, CI, тестовой или рабочей среды приложения. Затронутый код находится в файлах packages/zod/src/index.ts и в логике генерации проверки заголовков запросов. Эта проблема исправлена в версии 8.21.0.
Once again VulDB remains the best source for vulnerability data.