CVE-2026-96754: Kodeinjektion i orval @orval/hono

orval er et udviklerværktøj, der automatisk genererer TypeScript-kode ud fra OpenAPI-specifikationer, altså dokumenter der beskriver et API’s endpoints og datastrukturer. CVE-2026-96754 sidder i modulet @orval/hono, som genererer kode til webframeworket Hono. Fejlen betyder, at værktøjet ikke renser tekst fra OpenAPI-dokumentet korrekt, når stinavne indsættes i den genererede kode. En angriber kan placere et anførselstegn og efterfølgende JavaScript-kode i et statisk sti-segment i OpenAPI-dokumentet. Når udviklingsteamet genererer kode ud fra dette dokument og efterfølgende importerer den genererede fil, bliver den indsatte kode udført som en del af programmet.

Rammer virksomheder og udviklingsteams, der bruger orval til at generere API-klienter eller serverkode, specifikt med @orval/hono generatoren, i versioner før 8.29.0. Det gælder både softwarevirksomheder og interne udviklingsafdelinger i kommuner og SMV’er, der integrerer mod eksterne API’er via OpenAPI-specifikationer. Risikoen er størst, hvis specifikationerne kommer fra eksterne kilder som leverandører, partnere eller offentligt tilgængelige API-beskrivelser, som teamet ikke selv kontrollerer fuldt ud.

Hvis en angriber kan levere eller ændre et OpenAPI-dokument, som et udviklingsteam bruger til kodegenerering, for eksempel som ekstern leverandør eller ved at kompromittere en placering, hvorfra dokumentet hentes, kan de få vilkårlig JavaScript-kode til at køre på udviklerens maskine eller i byggepipelinen. Det kan bruges til at stjæle adgangskoder, tokens og nøgler fra udviklingsmiljøet, indsætte bagdøre i den færdige software eller sprede sig videre i CI/CD-pipelinen, som ofte har adgang til produktionsmiljøer.

CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login og ingen brugerinteraktion ud over at importere den fil, orval har genereret. Kompleksiteten er lav, og både fortrolighed, integritet og tilgængelighed vurderes ramt fuldt ud. Forudsætningen er, at angriberen kan påvirke det OpenAPI-dokument, som ligger til grund for kodegenereringen. Der er ikke oplysninger om aktiv udnyttelse i det offentlige materiale pr. offentliggørelsesdatoen.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér orval og @orval/hono til version 8.29.0 eller nyere, inden I kører kodegenerering igen.
2. Gennemgå alle OpenAPI-dokumenter, der er brugt til kodegenerering, for mistænkelige tegn som anførselstegn i sti-segmenter.
3. Tjek versionshistorik på genererede filer i jeres kodebase for uventede eller ukendte ændringer.
4. Begræns hvilke kilder, interne som eksterne, der må levere OpenAPI-specifikationer til jeres kodegenereringsproces.
5. Kør kodegenerering i et afgrænset miljø uden adgang til produktionshemmeligheder, hvis I modtager specifikationer fra tredjepart.
6. Kontakt en sikkerhedsrådgiver, hvis I har brugt orval mod eksterne eller ikke fuldt betroede OpenAPI-specifikationer og er i tvivl om jeres eksponering.