یک آسیب‌پذیری امنیتی با شدت CRITICAL در کتابخانه Orval (نسخه‌های پیش از 8.29.0) شناسایی شده است که امکان اجرای کد دلخواه را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-96759 ثبت شده است، به دلیل عدم پاک‌سازی (Escape) مناسب پارامتر operationId در هنگام تولید اشیاء متادیتای TanStack Query mutator options رخ می‌دهد.
سناریوی حمله
عوامل تهدید می‌توانند از طریق طراحی یک فایل OpenAPI specification حاوی کدهای مخرب در بخش operationId، کد JavaScript دلخواه را تزریق کنند. این کدها در زمانی که Hookهای تولید شده توسط Orval فراخوانی شوند، در محیط هدف اجرا خواهند شد.
راهکار مقابله
- به‌روزرسانی فوری کتابخانه Orval به نسخه 8.29.0 یا نسخه‌های جدیدتر.
- بازبینی فایل‌های OpenAPI که از منابع غیرمعتبر دریافت شده‌اند تا از عدم وجود کدهای تزریقی اطمینان حاصل شود.
