CVE Intelligence
Análise Assistido por IA

CVE-2026-25141: Orval: injeção de código (CWE-94) por correção incompleta de sanitização

O Orval, ferramenta que gera clientes TypeScript a partir de especificações de API, possui uma correção incompleta para o CVE-2026-23947. Um conjunto limitado de caracteres não alfanuméricos ainda não é escapado, o que, segundo o registro, pode permitir injeção de código. Segundo a descrição do CNA, as versões corrigidas são 7.21.0 e 8.2.0.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

O Orval gera clientes JavaScript com tipagem segura em TypeScript a partir de especificações de API. Segundo a descrição do CNA, a correção anterior para o CVE-2026-23947 foi incompleta: alguns caracteres ainda não são escapados pela função jsStringEscape, o que pode permitir injeção de código (CWE-94).

Impacto

  • O registro do NVD atribui pontuação CVSS 3.1 de 9,8. O GitHub, como CNA, atribui pontuação CVSS 4.0 de 9,3.
  • Segundo a descrição, um atacante poderia forçar a execução de JavaScript arbitrário sem precisar de caracteres alfanuméricos ou aspas.
  • As fontes não descrevem as consequências em um ambiente específico. O impacto real depende de como o código gerado é utilizado.

Produtos e versões afetados

  • Orval: versões 7.19.0 até antes de 7.21.0, e 8.0.0 até antes de 8.2.0 (linhas 7.x e 8.x).
  • As versões corrigidas são 7.21.0 e 8.2.0, segundo a descrição do CNA e as páginas das versão v7.21.0 e versão v8.2.0.

Status de exploração

O catálogo KEV da CISA não lista este CVE. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Remediação e mitigação

  • Atualize o Orval para 7.21.0 ou superior na linha 7.x, ou para 8.2.0 ou superior na linha 8.x.
  • Restrinja quem pode fornecer as especificações de API usadas para gerar clientes e revise o código gerado após a regeneração.
  • Recompile e reimplante os projetos que dependem do Orval após a atualização.

Orientação para detecção

  • Faça um inventário de projetos e pipelines de build que usam o Orval e registre as versões instaladas.
  • Marque builds com versões nas faixas afetadas para revisão prioritária.

Limitações das informações disponíveis

  • O registro não contém dados de EPSS ou SSVC.
  • Os detalhes da correção vêm da descrição do CNA e das páginas citadas. Este texto não analisou o aviso completo.
  • A exposição de um projeto específico depende de seu uso, o que é desconhecido.

Perguntas frequentes

Quais versões do Orval são afetadas pelo CVE-2026-25141?

Segundo a faixa afetada no registro, as versões de 7.19.0 até antes de 7.21.0 e de 8.0.0 até antes de 8.2.0 são afetadas.

Quais versões contêm a correção?

A descrição do CNA indica que as versões 7.21.0 e 8.2.0 contêm uma correção atualizada. Atualizar é o passo recomendado para projetos afetados.

Este CVE é conhecido por ser explorado ativamente?

Não. O catálogo KEV da CISA não o lista e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.