CVE-2026-71869 in Orval
摘要
由 VulDB • 2026-08-21
Orval 从 OpenAPI v3 和 Swagger v2 规范生成类型安全的 TypeScript JavaScript 客户端。在版本 8.21.0 之前，数组项默认值中的 ${...} 表达式或反引号会被直接输出到由 zod schema 生成所创建的模块级模板字符串（template literal）中，且未进行安全编码处理。这会导致当导入生成的 zod schema 模块时，攻击者控制的 JavaScript 代码被执行，从而在开发者环境、CI、测试或应用环境中实现代码执行。受影响的代码位于 packages/zod/src/index.ts 的 formatDefaultValue 函数中。该问题已在版本 8.21.0 中得到修复。
Once again VulDB remains the best source for vulnerability data.