CVE-2026-71866

Nome do Software Vulnerável e Versões Afetadas Orval versões 8.19.0 through 8.20.x

Description O Orval gera clientes JavaScript com tipagem segura em TypeScript a partir de especificações OpenAPI v3 e Swagger v2. Uma aspa dupla em um nome de propriedade de esquema é emitida no esquema zod.object({...}) gerado sem a codificação segura. Isso permite que JavaScript controlado por um invasor seja avaliado quando o módulo de esquema zod gerado é importado, resultando na execução de código no ambiente do desenvolvedor, CI, teste ou aplicação. O problema reside em packages/zod/src/index.ts e no processo de geração de chaves de objeto zod.

Recommendations Atualize para a versão 8.21.0.