CVE-2026-71864
Publiée le 2026-08-19 · Dernière modification le 2026-08-25
Les versions d'Orval antérieures à la 8.21.0 sont concernées si elles génèrent des clients TypeScript à partir d'une spécification OpenAPI ou Swagger malveillante. Un attaquant peut insérer un guillemet double dans le nom d'un paramètre d'en-tête afin d'injecter et d'exécuter du code JavaScript arbitraire lorsque le module de schéma résultant est importé dans l'environnement d'un développeur, un pipeline CI ou une application. Cette attaque est facile à réaliser, ne nécessitant qu'un accès réseau au fichier de spécification, sans authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Orval generates type-safe JavaScript clients in TypeScript from OpenAPI v3 and Swagger v2 specifications. Prior to 8.21.0, a double quote in a header parameter name is emitted into the generated request-validation zod.object({...}) schema without safe encoding. This permits attacker-controlled JavaScript to be evaluated when the generated zod schema module is imported, resulting in code execution in the developer, CI, test, or application environment. The affected code is packages/zod/src/index.ts and header request-validation generation. This issue is fixed in version 8.21.0.