p PatchFirst

CVE-2026-62680

CVE-2026-62680 · Orval: Generation-time SSRF + remote/local file inclusion via unrestricted $ref

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Orval generates type-safe JavaScript clients in TypeScript from OpenAPI v3 and Swagger v2 specifications. Prior to 8.22.0, Orval resolves remote and local external $ref values without an allowlist or confinement to the input directory. Processing an attacker-controlled OpenAPI description can cause requests from the developer or CI host to attacker-selected or internal HTTP services, read absolute or out-of-tree local files, and inline untrusted remote schemas into generated clients. The affected code is packages/orval/src/import-specs.ts external reference loading. This issue is fixed in version 8.22.0.

CVSS 7.1 · Élevée · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • orval

    Versions du logiciel
    • < 8.22.0: Concernée

    Aucun correctif publié

  • orval npm

    Plages de versions concernées
    • SEMVER: < 8.22.0

    Mettez à jour vers 8.22.0

Sources originales

Vérifiez votre serveur →