Orval: Generation-time SSRF + remote/local file inclusion via unrestricted $ref — GHSA-CXQ5-97V7-87J8

GitHub · GitHub · GHSA-CXQ5-97V7-87J8

ID
GHSA-CXQ5-97V7-87J8

Datum
2026-09-02

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
7.1

EPSS
0.00309

Zusammenfassung

### Summary Orval resolves OpenAPI `$ref`s by fetching remote `http(s)` URLs and reading local files (including absolute / out-of-tree paths), inlining the referenced schema into the generated client. Running `orval` on a spec whose `$ref` points at an attacker/internal URL or an arbitrary local file yields SSRF, remote file inclusion, and local file inclusion. Verified on 8.19.0. This is a different class from…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-02

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 7.1 von 10.
Gemeldeter EPSS-Wert: 0.00309.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: orval.

Produkt

npm: orval

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-CXQ5-97V7-87J8
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-02
Letzte Quellenaktivität: 2026-09-02
Weitere Kennungen: CVE-2026-62680
Kuratiert von: hlukh.ch