Résumé
généré automatiquement à partir des données NVDLe générateur @orval/hono d'orval, dans les versions antérieures à 8.29.0, est affecté par une injection de code (CWE-94) : les valeurs de chemin OpenAPI ne sont pas échappées dans les littéraux de route entre apostrophes. Un attaquant peut fournir un document OpenAPI contenant une apostrophe dans un segment de chemin statique pour injecter du JavaScript arbitraire, exécuté à l'import du module TypeScript généré. La sévérité est critique, avec un score CVSS v3.1 de 9.8.
Description NVD (anglais)
orval versions before 8.29.0 contain a code injection vulnerability in the @orval/hono generator that fails to escape OpenAPI path values in single-quoted route literals. Attackers can craft an OpenAPI document with an apostrophe in a static path segment to inject arbitrary JavaScript code that executes when the generated TypeScript module is imported.
EPSS · FIRST.org
0,43 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 35 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 23 sept. 2026
- Mis à jour
- 29 sept. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (8)
CVEs similaires
Autres vulnérabilités de type CWE-94
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.