CVE-2026-96754 · CVSS 9.8 · orval versions before 8.29.0 contain a code injection vulnerability in the @orval/hono generator that fails to escape OpenAPI path values …

NVD (CVSS crítico) · 23 sept, 19:17

orval versiones anteriores a 8.29.0 contienen una vulnerabilidad de inyección de código en el generador @orval/hono que no escapa correctamente los valores de rutas OpenAPI en literales entre comillas simples. Un atacante podría crear un documento OpenAPI malicioso con un apóstrofo en un segmento de ruta estática para inyectar código JavaScript arbitrario que se ejecute al importar el módulo TypeScript generado.