PT-2026-97409

CVE-2026-96756

Publicado

2026-09-23

Atualizado

2026-09-23

Descrição por

CVSS 4.0

9.2

Crítica

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas orval versões anteriores a 8.30.0

Description O gerador de fábrica @orval/core não escapa valores padrão de data em chamadas new Date(). Isso permite que atacantes injetem expressões arbitrárias por meio de apóstrofos em padrões de esquema OpenAPI, resultando na execução de código com os privilégios do processo consumidor. Este problema ocorre quando as opções factoryMethods e useDates estão habilitadas.

Recommendations Atualize o orval para a versão 8.30.0 ou posterior. Como mitigação temporária, desabilite as opções factoryMethods ou useDates.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Enrik Mustafa

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

Identificadores relacionados

CVE-2026-96756