PT-2026-78551
CVE-2026-71867
·
Publicado
2026-08-19
·
Atualizado
2026-09-21
Descrição por
CVSS 4.0
9.3
CríticaMétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Nome do Software Vulnerável e Versões Afetadas
Orval versões anteriores a 8.21.0
Description
O Orval gera clientes JavaScript com tipagem segura em TypeScript a partir de especificações OpenAPI v3 e Swagger v2. Existe uma falha onde uma aspa simples em um nome de propriedade de esquema é emitida em chaves de objeto com aspas simples em fábricas de mock do MSW (Mock Service Worker) geradas sem codificação segura. Isso permite que JavaScript controlado por um invasor seja avaliado quando a fábrica de mock gerada é chamada por testes ou por um manipulador MSW, resultando na execução de código no ambiente do desenvolvedor, CI, teste ou aplicação. O problema reside na função
getKey() em packages/core/src/getters/keys.ts e no processo de geração de mock do MSW.Recommendations
Atualizar para a versão 8.21.0.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾