p PatchFirst

CVE-2026-62680

CVE-2026-62680 · Orval: Generation-time SSRF + remote/local file inclusion via unrestricted $ref

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Orval generates type-safe JavaScript clients in TypeScript from OpenAPI v3 and Swagger v2 specifications. Prior to 8.22.0, Orval resolves remote and local external $ref values without an allowlist or confinement to the input directory. Processing an attacker-controlled OpenAPI description can cause requests from the developer or CI host to attacker-selected or internal HTTP services, read absolute or out-of-tree local files, and inline untrusted remote schemas into generated clients. The affected code is packages/orval/src/import-specs.ts external reference loading. This issue is fixed in version 8.22.0.

CVSS 7.1 · Hoch · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • orval

    Softwareversionen
    • < 8.22.0: Betroffen

    Keine Korrektur veröffentlicht

  • orval npm

    Betroffene Versionsbereiche
    • SEMVER: < 8.22.0

    Auf 8.22.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →