CVE-2026-71866
Publiée le 2026-08-19 · Dernière modification le 2026-08-19
Orval (versions 8.19.0 à 8.21.0) est affecté lorsqu'il traite des spécifications OpenAPI ou Swagger contenant des noms de propriétés spécialement conçus. Un attaquant peut exécuter du code arbitraire sur votre machine de développement, votre pipeline CI/CD ou votre serveur d'application simplement en fournissant un fichier de spécification malveillant. Cette attaque ne nécessite aucune authentification ni interaction de l'utilisateur, si ce n'est l'importation du schéma généré par l'outil.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Orval generates type-safe JavaScript clients in TypeScript from OpenAPI v3 and Swagger v2 specifications. From version 8.19.0 until 8.21.0, a double quote in a schema property name is emitted into the generated zod.object({...}) schema without safe encoding. This permits attacker-controlled JavaScript to be evaluated when the generated zod schema module is imported, resulting in code execution in the developer, CI, test, or application environment. The affected code is packages/zod/src/index.ts and zod object-key generation. This issue is fixed in version 8.21.0.