CVE-2026-24132

Nome do Software Vulnerável e Versões Afetadas Orval versões 7.19.0 e anteriores e 8.0.0-rc.0 até 8.0.2

Descrição O Orval gera clientes JavaScript seguros de tipos a partir de especificações OpenAPI. O software permite que especificações OpenAPI não confiáveis injetem código TypeScript/JavaScript arbitrário nos arquivos mock gerados por meio da palavra-chave const em propriedades do esquema. Esses valores const são interpolados no gerador de escalares mock (getMockScalar em packages/mock/src/faker/getters/scalar.ts) sem escapamento adequado ou serialização segura de tipos. Isso resulta em código controlado pelo atacante sendo emitido tanto nas definições de interface quanto nos manipuladores faker/MSW. O problema é semelhante a um problema relatado anteriormente que afetava um caminho de código diferente.

Recomendações As versões 7.20.0 e 8.0.3 ou posteriores do Orval devem ser utilizadas.