CVE-2026-71865 in Orval
摘要
由 VulDB • 2026-08-20
Orval 从 OpenAPI v3 和 Swagger v2 规范生成类型安全的 TypeScript JavaScript 客户端。在版本 8.21.0 之前，查询参数名称中的双引号会被直接输出到生成的请求验证 zod.object({...}) schema 中，且未进行安全编码。当导入生成的 zod schema 模块时，这会导致攻击者控制的 JavaScript 代码被执行，从而在开发者、CI（持续集成）、测试或应用环境中造成代码执行漏洞。受影响的代码位于 packages/zod/src/index.ts 以及查询请求验证生成逻辑中。该问题已在版本 8.21.0 中得到修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.