PT-2026-4314
CVE-2026-24132
·
تاريخ النشر
2026-01-22
·
تاريخ التحديث
2026-02-27
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Orval الإصدارات 7.19.0 وما قبلها، و8.0.0-rc.0 حتى 8.0.2
الوصف
يقوم Orval بإنشاء عملاء JavaScript آمنين من حيث الأنواع استنادًا إلى مواصفات OpenAPI. يسمح البرنامج لمواصفات OpenAPI غير الموثوقة بإدخال كود TypeScript/JavaScript تعسفي في ملفات المحاكاة التي تم إنشاؤها باستخدام الكلمة الرئيسية
const في خصائص المخطط. يتم إدراج قيم const هذه في مُنشئ القيم السكالارية الوهمية (getMockScalar في packages/mock/src/faker/getters/scalar.ts) دون إجراء عملية هروب مناسبة أو تسلسل آمن للأنواع. وينتج عن ذلك إصدار كود يتحكم فيه المهاجم في كل من تعريفات الواجهة ومعالجات faker/MSW. تشبه هذه المشكلة مشكلة تم الإبلاغ عنها سابقًا كانت تؤثر على مسار كود مختلف.التوصيات
يجب استخدام الإصدارات 7.20.0 و8.0.3 أو الأحدث من Orval.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾