CVE-2026-96757 · CVSS 9.8 · orval before 8.29.0 fails to escape OpenAPI media-type keys when emitting them into single-quoted Content-Type string literals in generated …

NVD (CVSS crítico) · 23 sept, 19:17

orval anterior a la versión 8.29.0 no escapa correctamente las claves de media-type de OpenAPI cuando las emite en literales de cadena con comillas simples en el código generado, permitiendo que atacantes inyecten JavaScript a través de especificaciones OpenAPI manipuladas que se ejecuta durante operaciones fetch o resolvers de mock. Aunque el CVSS es crítico (9.8), la vulnerabilidad requiere que el atacante controle la especificación OpenAPI y no hay prueba de explotación activa, lo que limita su impacto inmediato.