CVE-2026-24132
Açıklama
Orval, herhangi bir geçerli OpenAPI v3 veya Swagger v2 spesifikasyonundan tip güvenli JS istemcileri (TypeScript) oluşturur. 7.19.0 ve altı sürümler ile 8.0.0-rc.0'dan 8.0.2'ye kadar olan sürümler, güvenilmeyen OpenAPI spesifikasyonlarının şema özellikleri üzerindeki const anahtar kelimesi aracılığıyla oluşturulan mock dosyalarına rastgele TypeScript/JavaScript enjekte etmesine izin verir. Bu const değerleri, uygun kaçış karakterleri veya tip güvenli serileştirme olmadan mock skaler oluşturucuya (packages/mock/src/faker/getters/scalar.ts içindeki getMockScalar) eklenir; bu durum saldırgan tarafından kontrol edilen kodun hem arayüz tanımlarına hem de faker/MSW işleyicilerine dahil edilmesine neden olur. Zafiyetin etkisi daha önce bildirilen enum x-enumDescriptions (GHSA-h526-wf6g-67jv) ile benzerdir ancak @orval/core yerine faker tabanlı mock oluşturucudaki farklı bir kod yolunu etkiler. Sorun 7.20.0 ve 8.0.3 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- orval orval7.20.0, 8.0.3 ya da sonraki bir sürüm
- @orval/mock7.20.0, 8.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| orval orval | 6.0.0 ≤ v < 7.20.0, 8.0.0 ≤ v < 8.0.3 | 7.20.0, 8.0.3 |
| @orval/mocknpm | v < 7.20.0, 8.0.0-rc.0 ≤ v < 8.0.3 | 7.20.0, 8.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.