CVE-2026-96759 · CVSS 9.8 · orval before 8.29.0 fails to escape the operationId parameter when emitting it into generated TanStack Query mutator options metadata …

NVD (CVSS crítico) · 23 sept, 19:17

orval anterior a la versión 8.29.0 no escapa correctamente el parámetro operationId al generar código para TanStack Query, permitiendo inyección de JavaScript arbitrario a través de especificaciones OpenAPI malformadas. El defecto afecta a herramientas de generación de código utilizadas en pipelines de desarrollo y puede ejecutarse cuando se usan los hooks generados.