CVE-2026-96758 · CVSS 9.8 · orval @orval/core before 8.28.0 contains a code injection vulnerability in the form-data serializer that fails to escape multipart property …

NVD (CVSS crítico) · 23 sept, 19:17

Una vulnerabilidad de inyección de código en orval @orval/core anterior a la versión 8.28.0 permite a atacantes ejecutar expresiones arbitrarias a través de nombres de propiedades en esquemas OpenAPI que no se escapan correctamente en literales de plantilla. El riesgo afecta a clientes generados que construyen cuerpos FormData con privilegios de proceso del consumidor.