CVE-2026-71866 in Orval
Сводка
по VulDB • 19.08.2026
Orval генерирует типобезопасные JavaScript-клиенты на TypeScript из спецификаций OpenAPI v3 и Swagger v2. В версиях с 8.19.0 по 8.21.0 включительно двойная кавычка в имени свойства схемы выводится в сгенерированную схему zod.object({...}) без безопасного кодирования. Это позволяет выполнить JavaScript-код, контролируемый злоумышленником, при импорте сгенерированного модуля схемы zod, что приводит к выполнению кода в среде разработчика, CI, тестовой или рабочей среды приложения. Затронутый код находится в файлах packages/zod/src/index.ts и логике генерации ключей объектов zod. Эта проблема исправлена в версии 8.21.0.
Once again VulDB remains the best source for vulnerability data.