CVE-2026-62680
WysokieCVSS 7.1Streszczenie
Orval przed wersją 8.22.0 rozwiązuje zewnętrzne referencje $ref bez listy dozwolonych lub ograniczenia do katalogu wejściowego. Przetwarzanie kontrolowanej przez atakującego specyfikacji OpenAPI może powodować żądania do wybranych przez atakującego usług HTTP, odczyt lokalnych plików poza drzewem projektu oraz włączanie niezaufanych schematów do generowanych klientów.
Ocena ryzyka
Deweloper lub system CI może zostać wykorzystany do ataków SSRF, ujawnienia lokalnych plików lub wstrzyknięcia złośliwego kodu do generowanych klientów, co zagraża poufności i integralności.
Rekomendacja
Zaktualizuj Orval do wersji 8.22.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Orval generates type-safe JavaScript clients in TypeScript from OpenAPI v3 and Swagger v2 specifications. Prior to 8.22.0, Orval resolves remote and local external $ref values without an allowlist or confinement to the input directory. Processing an attacker-controlled OpenAPI description can cause requests from the developer or CI host to attacker-selected or internal HTTP services, read absolute or out-of-tree local files, and inline untrusted remote schemas into generated clients. The affected code is packages/orval/src/import-specs.ts external reference loading. This issue is fixed in version 8.22.0.