PT-2026-78554
CVE-2026-71871
·
تاريخ النشر
2026-08-19
·
تاريخ التحديث
2026-09-21
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Orval السابقة للإصدار 8.21.0
الوصف
يقوم Orval بإنشاء عملاء JavaScript آمنين من حيث النوع في TypeScript من مواصفات OpenAPI v3 و Swagger v2. توجد ثغرة حيث يتم إخراج تعبير
${...} أو علامة backtick في القيمة الافتراضية لمعلمة الرأس إلى قالب حرفي على مستوى الوحدة النمطية أثناء إنشاء مخطط zod دون ترميز آمن. وهذا يسمح بتقييم JavaScript الذي يتحكم فيه المهاجم عند استيراد وحدة مخطط zod التي تم إنشاؤها، مما يؤدي إلى تنفيذ التعليمات البرمجية في بيئة المطور أو التكامل المستمر (CI) أو الاختبار أو التطبيق. توجد المشكلة في الدالة formatDefaultValue() داخل packages/zod/src/index.ts.التوصيات
التحديث إلى الإصدار 8.21.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾