CVE-2026-23947

总结

Orval 能够根据任何有效的 OpenAPI v3 或 Swagger v2 规范生成类型安全的 JS 客户端（TypeScript）。在 7.19.0 之前直至 8.0.2 的版本中，消费所生成客户端的环境容易受到任意代码执行攻击。此问题与 CVE-2026-22785 的性质类似，但影响的是 @orval/core 中另一条代码路径，该路径未被 CVE-2026-22785 的修复所覆盖。该漏洞允许不受信任的 OpenAPI 规范通过 x-enumDescriptions 字段向生成的客户端注入任意 TypeScript/JavaScript 代码，该字段在 getEnumImplementation() 中被嵌入时未进行适当的转义。我已确认，注入发生在 const enum 生成期间，并导致生成的 schema 文件中出现可执行代码。Orval 7.19.0 和 8.0.2 包含对此问题的修复。

• CVE-2026-23947-PoCPoC

  概念验证，演示如何通过恶意 OpenAPI 字段在 Orval 中实现任意代码执行，包含环境搭建、利用步骤及修复指南。