CVE-2026-96754

Orval przed wersją 8.30.0 zawiera podatność na wstrzyknięcie kodu w generatorze fabryk @orval/core, który nie poprawnie escapuje domyślnych wartości dat w wywołaniach new Date(). Atakujący mogą wstrzyknąć dowolne wyrażenia przez apostrofy w domyślnych wartościach schematu OpenAPI, aby wykonać kod z uprawnieniami procesu konsumenta, gdy opcje factoryMethods i useDates są włączone.

orval przed wersją 8.29.0 nie escapuje parametru operationId podczas emitowania go do wygenerowanych obiektów metadanych opcji mutatorów TanStack Query. Atakujący mogą wstrzyknąć dowolny kod JavaScript poprzez spreparowany operationId w specyfikacji OpenAPI, który wykonuje się podczas wywoływania wygenerowanych hooków.

orval @orval/core przed wersją 8.28.0 zawiera podatność na wstrzyknięcie kodu w serializerze form-data, który nie escapuje nazw właściwości multipart w wygenerowanych literałach szablonów. Atakujący mogą wstrzyknąć wyrażenia ${...} do nazw właściwości schematu OpenAPI, które wykonują się jako żywa interpolacja podczas budowania przez wygenerowany klient treści FormData z uprawnieniami procesu konsumenta.

orval przed wersją 8.29.0 nie escapuje kluczy typów mediów OpenAPI podczas emitowania ich do literałów łańcuchowych Content-Type w pojedynczych cudzysłowach w wygenerowanym kodzie. Atakujący mogą wstrzyknąć JavaScript poprzez spreparowane klucze typów mediów w specyfikacjach OpenAPI, który wykonuje się podczas wywoływania wygenerowanych operacji fetch lub resolverów mock.

orval w wersjach od 8.14.0 do 8.28.1 zawiera podatność na wstrzyknięcie kodu w generatorze @orval/effect, który konwertuje domyślne wartości schematu OpenAPI na literały szablonów. Atakujący mogą wstrzyknąć dowolne wyrażenia JavaScript poprzez domyślne wartości schematu zawierające składnię ${...}, które są wykonywane w zakresie modułu podczas budowania lub importowania wygenerowanego kodu.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej schematu jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej parametru zapytania jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej parametru nagłówka jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej elementu tablicy jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval przed wersją 8.21.0 niebezpiecznie koduje wyrażenia ${...} lub backticki w domyślnych wartościach enum w generowanych schematach zod, co pozwala na wykonanie złośliwego kodu JavaScript podczas importu modułu.