PT-2026-78551
CVE-2026-71867
·
تاريخ النشر
2026-08-19
·
تاريخ التحديث
2026-09-21
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Orval السابقة للإصدار 8.21.0
الوصف
يقوم Orval بإنشاء عملاء JavaScript آمنين من حيث النوع في TypeScript استنادًا إلى مواصفات OpenAPI v3 وSwagger v2. توجد ثغرة تتمثل في أن علامة الاقتباس المفردة الموجودة في اسم خاصية المخطط يتم تحويلها إلى مفاتيح كائنات محاطة بعلامات اقتباس مفردة في مصانع المحاكاة MSW (Mock Service Worker) التي تم إنشاؤها دون ترميز آمن. وهذا يسمح بتقييم جافا سكريبت التي يتحكم فيها المهاجم عند استدعاء مصنع المحاكاة الذي تم إنشاؤه بواسطة الاختبارات أو معالج MSW، مما يؤدي إلى تنفيذ التعليمات البرمجية في بيئة المطور أو التكامل المستمر (CI) أو الاختبار أو التطبيق. تكمن المشكلة في الدالة
getKey() الموجودة في packages/core/src/getters/keys.ts وعملية إنشاء محاكاة MSW.التوصيات
التحديث إلى الإصدار 8.21.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾