orval CVE-2026-96754 bis 96759: Sechs Code-Injection-Lücken in generiertem TypeScript-Code

TL;DR — 90 Sekunden

orval generiert TypeScript-Clients, React-Query-Hooks und Mock-Daten aus OpenAPI-Spezifikationen. Sechs neue CVEs zeigen dasselbe Muster in sechs verschiedenen Generatoren: Pfadsegmente, Media-Type-Schlüssel, Property-Namen, operationId-Werte und Datums-Defaults aus der Spezifikation landen ungeprüft in String- oder Template-Literalen des generierten Codes. Enthält einer dieser Werte ein Anführungszeichen oder eine ${}-Sequenz, kann er aus dem Literal ausbrechen. Der eingeschleuste Code läuft, sobald jemand die generierte Datei importiert oder die generierte Funktion aufruft, nicht erst zur Laufzeit einer Anfrage. Fix-Versionen liegen zwischen 8.28.0 und 8.30.0, je nach CVE. Ein Update auf 8.30.0 oder neuer schließt alle sechs Lücken gleichzeitig.

Was ist das Problem?

orval liest OpenAPI- oder Swagger-Dokumente ein und erzeugt daraus TypeScript-Typen, Fetch- oder Axios-Clients, React-Query- oder SWR-Hooks, MSW-Mocks und weitere Artefakte. Die sechs Lücken teilen ein gemeinsames Muster: Werte aus der Spezifikation werden ohne Escaping direkt in String-Literale oder Template-Literale des generierten Codes eingesetzt.

CVE-2026-96754 betrifft den @orval/hono-Generator: Pfadwerte aus der Spezifikation landen ungeprüft in einfach gequoteten Routen-Literalen; ein Apostroph im Pfad bricht aus dem Literal aus.

CVE-2026-96755 betrifft den @orval/effect-Generator: Schema-Defaults werden unsicher in Template-Literale umgewandelt; eine ${...}-Sequenz im Default-Wert führt zu Codeausführung beim Import oder bei der Code-Konstruktion.

CVE-2026-96756 betrifft den Factory-Generator in @orval/core: Sind factoryMethods und useDates gemeinsam aktiviert, werden Datums-Defaults ungeprüft in new Date()-Aufrufe eingesetzt.

CVE-2026-96757 betrifft den Fetch-Generator in @orval/core: Media-Type-Schlüssel aus der Spezifikation werden ungeprüft in einfach gequotete Content-Type-Literale eingesetzt.

CVE-2026-96758 betrifft den Form-Data-Serializer in @orval/core: Multipart-Property-Namen landen ungeprüft in Template-Literalen, die beim Aufbau des FormData-Bodys ausgeführt werden.

CVE-2026-96759 betrifft den TanStack-Query-Generator: Der operationId-Parameter wird ungeprüft in generierte Metadaten-Objekte der Mutator-Optionen eingesetzt.

In allen sechs Fällen genügt eine präparierte OpenAPI-Spezifikation als Eingabe. Wer Spezifikationen aus nicht vollständig vertrauenswürdigen Quellen generiert, etwa von Partnern oder aus automatisiert geladenen Drittanbieter-APIs, ist unmittelbar betroffen.

Wer ist betroffen?

Da die Fix-Versionen zwischen 8.28.0 und 8.30.0 liegen, schließt erst ein Update auf 8.30.0 oder neuer alle sechs Lücken gleichzeitig. Betroffen ist, wer einen der genannten Generatoren nutzt; die meisten Projekte, die orval für TypeScript-Client- oder Hook-Generierung einsetzen, verwenden mindestens einen davon.

Auswirkungen

Der eingeschleuste Code läuft im Kontext des Prozesses, der die generierte Datei importiert oder ausführt, typischerweise ein Build-Schritt, ein CI-Job oder eine Node.js-Laufzeitumgebung mit Dateisystem- und Netzwerkzugriff. Da orval üblicherweise beim Build oder in einem Codegenerierungs-Schritt mit Zugriff auf Repository, Secrets und CI-Umgebungsvariablen läuft, entspricht eine erfolgreiche Ausnutzung faktisch einer Remote Code Execution in der Build-Pipeline.

Für Teams, die OpenAPI-Spezifikationen von externen Partnern, Drittanbieter-APIs oder automatisiert aus einem nicht vollständig kontrollierten Backend beziehen, ist das Risiko unmittelbar: Eine manipulierte Spezifikation genügt, eine Interaktion mit der laufenden Anwendung ist nicht nötig.

Mitigation / Sofortmaßnahmen

Aktualisieren Sie orval auf Version 8.30.0 oder neuer, um alle sechs Lücken zu schließen:

# Gesamtes orval-Ökosystem aktualisieren
npm install orval@^8.30.0 --save-dev

# Falls einzelne Pakete direkt referenziert werden
npm install @orval/core@^8.30.0 @orval/hono@^8.30.0 @orval/effect@^8.30.0 --save-dev

# Generierten Code danach neu erzeugen
npx orval --config ./orval.config.ts

Prüfen Sie den bereits generierten Code auf verdächtige Muster, insbesondere Apostrophe, Backticks oder ${-Sequenzen in Pfaden, Property-Namen oder operationId-Werten aus der letzten Generierung vor dem Update. Committen Sie neu generierten Code nach dem Update, statt sich auf zwischengespeicherte Build-Artefakte zu verlassen.

Bis das Update eingespielt ist, sollten Sie orval nur mit Spezifikationen aus vertrauenswürdigen, versionierten Quellen ausführen und keine zur Laufzeit heruntergeladenen Spezifikationen direkt verarbeiten.

Detection / Prüfung

Prüfen Sie Ihre OpenAPI-Spezifikationen und den zuletzt generierten Code auf Auffälligkeiten:

# Verdächtige Zeichen in Pfaden, Property-Namen und operationId-Werten suchen
grep -E "['\"\`]|\$\{" openapi.yaml openapi.json

# Generierten Code auf ungewöhnliche Ausdrücke im String-Kontext prüfen
grep -rn '${' generated/ --include='*.ts'

# CI-Logs auf unerwartete Netzwerkverbindungen oder Prozesse während des orval-Laufs prüfen
grep -i 'orval' ci-build.log

Prüfen Sie zusätzlich, aus welchen Quellen Ihre OpenAPI-Spezifikationen stammen und ob eine dieser Quellen zwischen dem Bekanntwerden der Lücken und Ihrem letzten Update kompromittiert oder manipuliert worden sein könnte.

Betreiberempfehlung

Akut handeln, wenn: Sie orval mit OpenAPI-Spezifikationen aus nicht vollständig vertrauenswürdigen oder automatisiert bezogenen Quellen betreiben, insbesondere in einer CI-Pipeline mit Zugriff auf Secrets. Aktualisieren Sie umgehend auf 8.30.0 oder neuer und generieren Sie den Code neu.

Beobachten genügt, wenn: Sie orval ausschließlich mit selbst gepflegten, versionierten Spezifikationen in einer isolierten Build-Umgebung betreiben. Ein Update auf 8.30.0 bleibt dennoch empfehlenswert, da sich die Vertrauenswürdigkeit von Spezifikationsquellen über die Zeit ändern kann.

Fazit

Die sechs orval-CVEs zeigen ein Muster, das über orval hinausweist: Code-Generatoren, die Fremddaten wie OpenAPI-Spezifikationen in ausführbaren Code umsetzen, brauchen dieselbe Sorgfalt beim Escaping wie jede andere Code-Injection-Angriffsfläche. Wer orval oder vergleichbare Generatoren einsetzt, sollte Spezifikationsquellen wie Eingabedaten behandeln, nicht wie vertrauenswürdige Konfiguration.

Quellen

• OSV: CVE-2026-96754 (@orval/hono)
• OSV: CVE-2026-96755 (@orval/effect)
• OSV: CVE-2026-96756 (@orval/core Factory)
• OSV: CVE-2026-96757 (@orval/core Fetch)
• OSV: CVE-2026-96758 (@orval/core Form-Data)
• OSV: CVE-2026-96759 (TanStack-Query-Generator)
• orval-labs/orval auf GitHub