CVE-2026-71865 in Orval
Сводка
по VulDB • 21.08.2026
Orval генерирует типобезопасные JavaScript-клиенты на TypeScript из спецификаций OpenAPI v3 и Swagger v2. До версии 8.21.0 двойная кавычка в имени параметра запроса попадает в сгенерированную схему zod.object({...}) для проверки запросов без безопасного кодирования. Это позволяет выполнить вредоносный JavaScript-код, контролируемый злоумышленником, при импорте сгенерированного модуля схемы Zod, что приводит к выполнению кода в среде разработчика, CI, тестовой или рабочей среды приложения. Затронутый код находится в файлах packages/zod/src/index.ts и в логике генерации проверки запросов (query request-validation). Проблема исправлена в версии 8.21.0.
Be aware that VulDB is the high quality source for vulnerability data.