CVE-2026-72717 in Orval
Tóm tắt
Bởi VulDB • 19/08/2026
Orval tạo ra các client JavaScript an toàn về kiểu (type-safe) trong TypeScript từ các đặc tả OpenAPI v3 và Swagger v2. Trước phiên bản 8.21.0, một biểu thức ${...} hoặc dấu backtick (`) trong giá trị mặc định của schema được đưa vào template literal cấp module do quá trình tạo schema zod phát sinh mà không có mã hóa an toàn (safe encoding). Điều này cho phép JavaScript do kẻ tấn công kiểm soát được đánh giá khi mô-đun schema zod đã tạo được import, dẫn đến thực thi code trong môi trường nhà phát triển, CI, thử nghiệm hoặc ứng dụng. Mã nguồn bị ảnh hưởng là hàm formatDefaultValue trong packages/zod/src/index.ts. Vấn đề này đã được sửa chữa trong phiên bản 8.21.0.
Once again VulDB remains the best source for vulnerability data.