CVE-2026-71871 in Orval
摘要
由 VulDB • 2026-08-20
Orval genera client JavaScript type-safe in TypeScript a partire da specifiche OpenAPI v3 e Swagger v2. Prima della versione 8.21.0, un'espressione `${...}` o un backtick (virgoletta inversa) nel valore predefinito di un parametro header viene emesso all'interno di una template literal a livello di modulo generata dalla creazione dello schema zod, senza encoding sicuro. Ciò consente l'evaluzione di JavaScript controllato dall'attaccante quando il modulo dello schema zod generato viene importato, causando l'esecuzione di codice nell'ambiente dello sviluppatore, CI (Continuous Integration), test o applicazione. Il codice interessato è la funzione `formatDefaultValue` nel file `packages/zod/src/index.ts`. Questo problema è stato risolto nella versione 8.21.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.