CVE-2026-71866

orval przed wersją 8.29.0 nie escapuje parametru operationId podczas emitowania go do wygenerowanych obiektów metadanych opcji mutatorów TanStack Query. Atakujący mogą wstrzyknąć dowolny kod JavaScript poprzez spreparowany operationId w specyfikacji OpenAPI, który wykonuje się podczas wywoływania wygenerowanych hooków.

orval @orval/core przed wersją 8.28.0 zawiera podatność na wstrzyknięcie kodu w serializerze form-data, który nie escapuje nazw właściwości multipart w wygenerowanych literałach szablonów. Atakujący mogą wstrzyknąć wyrażenia ${...} do nazw właściwości schematu OpenAPI, które wykonują się jako żywa interpolacja podczas budowania przez wygenerowany klient treści FormData z uprawnieniami procesu konsumenta.

orval przed wersją 8.29.0 nie escapuje kluczy typów mediów OpenAPI podczas emitowania ich do literałów łańcuchowych Content-Type w pojedynczych cudzysłowach w wygenerowanym kodzie. Atakujący mogą wstrzyknąć JavaScript poprzez spreparowane klucze typów mediów w specyfikacjach OpenAPI, który wykonuje się podczas wywoływania wygenerowanych operacji fetch lub resolverów mock.

orval w wersjach od 8.14.0 do 8.28.1 zawiera podatność na wstrzyknięcie kodu w generatorze @orval/effect, który konwertuje domyślne wartości schematu OpenAPI na literały szablonów. Atakujący mogą wstrzyknąć dowolne wyrażenia JavaScript poprzez domyślne wartości schematu zawierające składnię ${...}, które są wykonywane w zakresie modułu podczas budowania lub importowania wygenerowanego kodu.

orval w wersjach przed 8.29.0 zawiera podatność na wstrzyknięcie kodu w generatorze @orval/hono, który nie escapuje wartości ścieżek OpenAPI w literałach tras w pojedynczych cudzysłowach. Atakujący mogą spreparować dokument OpenAPI z apostrofem w statycznym segmencie ścieżki, aby wstrzyknąć dowolny kod JavaScript, który wykonuje się podczas importowania wygenerowanego modułu TypeScript.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej schematu jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej parametru zapytania jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej parametru nagłówka jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej elementu tablicy jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval przed wersją 8.21.0 niebezpiecznie koduje wyrażenia ${...} lub backticki w domyślnych wartościach enum w generowanych schematach zod, co pozwala na wykonanie złośliwego kodu JavaScript podczas importu modułu.