Podatności Orval

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej schematu jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej parametru zapytania jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej parametru nagłówka jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval (przed wersją 8.21.0) generuje klienty JavaScript w TypeScript z OpenAPI v3 i Swagger v2. Wyrażenie ${...} lub backtick w wartości domyślnej elementu tablicy jest emitowane do modułowego literału szablonu bez bezpiecznego kodowania, co pozwala na wykonanie atakującego kodu JavaScript podczas importu wygenerowanego modułu zod, prowadząc do wykonania kodu w środowisku deweloperskim, CI, testowym lub aplikacyjnym.

Orval przed wersją 8.21.0 niebezpiecznie koduje wyrażenia ${...} lub backticki w domyślnych wartościach enum w generowanych schematach zod, co pozwala na wykonanie złośliwego kodu JavaScript podczas importu modułu.

Orval przed wersją 8.21.0 niebezpiecznie koduje pojedyncze cudzysłowy w nazwach właściwości schematu w generowanych fabrykach mock MSW, co pozwala na wykonanie złośliwego kodu JavaScript podczas wywołania fabryki.

Orval od wersji 8.19.0 do 8.21.0 niebezpiecznie koduje podwójne cudzysłowy w nazwach właściwości schematu w generowanych schematach zod.object({...}), co pozwala na wykonanie złośliwego kodu JavaScript podczas importu modułu.

Orval przed wersją 8.21.0 niebezpiecznie koduje podwójne cudzysłowy w nazwach parametrów zapytania w generowanych schematach walidacji żądań zod.object({...}), co pozwala na wykonanie złośliwego kodu JavaScript podczas importu modułu.

Orval przed wersją 8.21.0 niebezpiecznie koduje podwójne cudzysłowy w nazwach parametrów nagłówka w generowanych schematach walidacji żądań zod.object({...}), co pozwala na wykonanie złośliwego kodu JavaScript podczas importu modułu.

Orval przed wersją 8.21.0 niebezpiecznie koduje niezmienione backticki w servers[0].url w generowanych literałach szablonów URL, gdy włączona jest opcja output.baseUrl.getBaseUrlFromSpecification, co pozwala na wykonanie złośliwego kodu JavaScript podczas wywołania wygenerowanej funkcji.

Orval przed wersją 8.21.0 niebezpiecznie koduje niezmienione backticki w ścieżkach OpenAPI w generowanych literałach szablonów URL dla klientów axios, fetch, react-query i SWR, co pozwala na wykonanie złośliwego kodu JavaScript podczas wywołania wygenerowanej funkcji.

Orval przed wersją 8.22.0 rozwiązuje zewnętrzne referencje $ref bez listy dozwolonych lub ograniczenia do katalogu wejściowego. Przetwarzanie kontrolowanej przez atakującego specyfikacji OpenAPI może powodować żądania do wybranych przez atakującego usług HTTP, odczyt lokalnych plików poza drzewem projektu oraz włączanie niezaufanych schematów do generowanych klientów.