注目★★★★★GitHub Advisory
Orval 8.19.0、zod生成時のimport RCEを許す
30秒で把握
- 1Orval 8.19.0 の zod生成で default 値からimport時RCEが成立
- 2CVE-2026-72717 はCVSS v4 9.3、OpenAPI検証後も悪用可能
- 3攻撃者影響下の仕様を使う生成物はimport前に供給元と実装を確認
要約
Orval 8.19.0 の zod schema生成で、OpenAPIの default 値が未エスケープの template literal として出力され、import時に攻撃者の JavaScript を実行できる脆弱性 CVE-2026-72717 が公開された。default に `v${<code>}w` を指定すると式が注入され、リクエストや関数呼び出しなしでコード実行に至る。OpenAPIの default 検証を通過し、攻撃者が制御または影響を与えた仕様から生成した zod module をimportするアプリケーションが影響を受ける。CVSS v4 は9.3で、修正には JSON.stringify などの文字列エンコーダーを使い、template literalへの仕様値の補間を避ける必要がある。
あなたへの影響
Orvalで生成した zod schema を利用する日本の開発チームは、OpenAPI仕様の供給元を確認し、影響する生成物のimportを止めたうえで修正版や安全なエンコード処理を適用してください。
推奨：仕様値をコード生成へ埋め込む処理では、template literal の `${` と backtick の扱いを監査する必要があります。