CVE-2026-24132

Orval hər hansı etibarlı OpenAPI v3 və ya Swagger v2 spesifikasiyasından tip təhlükəsizliyi olan JS klientləri (TypeScript) generasiya edir. Versiya 7.19.0 və daha aşağı versiyalar, həmçinin 8.0.0-rc.0-dan 8.0.2-yə qədər olan versiyalarda etibarsız OpenAPI spesifikasiyaları sxem xüsusiyyətlərindəki const açar sözü vasitəsilə generasiya edilmiş mock fayllarına ixtiyari TypeScript/JavaScript kodlarının yerləşdirilməsinə imkan verir. Bu const dəyərləri lazımi qaçırılma (escaping) və ya tip təhlükəsizliyi olan seriyallaşdırma olmadan mock skalyar generatoruna (packages/mock/src/faker/getters/scalar.ts faylında getMockScalar funksiyasına) interpolasiya edilir ki, bu da hücumçu tərəfindən idarə olunan kodun həm interfeys təriflərinə, həm də faker/MSW handler-lərinə daxil edilməsi ilə nəticələnir. Zəiflik təsiri baxımından əvvəllər hesabat verilmiş enum x-enumDescriptions (GHSA-h526-wf6g-67jv) zəifliyinə bənzəyir, lakin o, @orval/core-u deyil, faker əsaslı mock generatorundakı fərqli bir kod yolunu təsir altına alır. Problem 7.20.0 və 8.0.3 versiyalarında düzəldilmişdir.