CVE-2026-23947
Təsvir
Orval hər hansı etibarlı OpenAPI v3 və ya Swagger v2 spesifikasiyasından tip təhlükəsizliyi olan JS klientləri (TypeScript) generasiya edir. 7.19.0-dan əvvəlki versiyalar 8.0.2-yə qədər, generasiya edilmiş klientlərdən istifadə edən mühitlərdə ixtiyari kodun icrasına qarşı həssasdır. Bu problem mahiyyət etibarilə CVE-2026-22785 ilə oxşardır, lakin @orval/core daxilində CVE-2026-22785-in düzəlişi ilə aradan qaldırılmayan fərqli bir kod yoluna təsir göstərir. Həssaslıq, etibarsız OpenAPI spesifikasiyalarının x-enumDescriptions sahəsi vasitəsilə generasiya edilmiş klientlərə ixtiyari TypeScript/JavaScript kodu inyeksiya etməsinə imkan verir; bu sahə getEnumImplementation() funksiyasında lazımi eskeypinq olmadan yerləşdirilir. İnyeksiyanın const enum generasiyası zamanı baş verdiyi və generasiya edilmiş sxem faylları daxilində icra olunan kodla nəticələndiyi təsdiqlənmişdir. Orval 7.19.0 və 8.0.2 versiyaları problemin düzəlişini ehtiva edir.
Necə düzəltmək olar
- orval orval7.19.0, 8.0.2 və ya daha yeni versiya
- @orval/core8.0.2, 7.19.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| orval orval | v < 7.19.0, 8.0.0 ≤ v < 8.0.2 | 7.19.0, 8.0.2 |
| @orval/corenpm | 8.0.0-rc.0 ≤ v < 8.0.2, v < 7.19.0 | 8.0.2, 7.19.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.