یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-96754 در کتابخانه Orval شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 8.29.0 و به‌طور مشخص در بخش @orval/hono generator وجود دارد.
جزئیات فنی آسیب‌پذیری
این مشکل ناشی از عدم پاک‌سازی (Escape) صحیح مقادیر مسیرهای OpenAPI در رشته‌های تک‌کوتیشن (Single-quoted route literals) است. در واقع، زمانی که یک سند OpenAPI دارای کاراکتر آپاستروف (‘) در بخش‌های استاتیک مسیر باشد، این نقص منجر به Code Injection می‌شود.
سناریوی حمله
عامل تهدید (Threat Actor) می‌تواند یک سند OpenAPI دست‌کاری شده طراحی کند که حاوی کدهای مخرب جاوا اسکریپت باشد. این کدها در لحظه‌ای که ماژول TypeScript تولید شده توسط Orval توسط برنامه وارد (Import) شود، به‌صورت خودکار اجرا خواهند شد.
راهکار مقابله
- به‌روزرسانی فوری کتابخانه Orval به نسخه 8.29.0 یا نسخه‌های جدیدتر.
- بازبینی اسناد OpenAPI دریافتی از منابع غیرمعتمد پیش از پردازش توسط Generatorها.
