CVE-2026-33331

总结

oRPC 是一款帮助构建端到端类型安全且符合 OpenAPI 标准的 API 的工具。在 1.13.9 版本之前，orpc 的 OpenAPI 文档生成功能中存在一个存储型跨站脚本（XSS）漏洞。如果攻击者能够控制 OpenAPI 规范中的任意字段（例如 `info.description`），他们就可以突破 JSON 上下文，并在用户查看生成的 API 文档时执行任意 JavaScript。该问题已在 1.13.9 版本中得到修复。

• CVE-2026-33331PoC

  本地实验室复现 oRPC 的 OpenAPI 文档生成中的存储型 XSS（CVE-2026-33331），包含易受攻击版本和已修补版本以供对比，以及一个独立的 PoC。