はじめに：Orvalに潜むCriticalなImport-time RCEの脅威

日本のフロントエンド開発現場で、OpenAPI/Swagger仕様から型安全なAPIクライアントを生成するために利用されるツール「Orval」に、非常に危険な脆弱性（GHSA-6437-gxhq-pqv8 / CVE-2026-71864）が発見されました。この脆弱性は「Import-time Remote Code Execution (RCE)」、つまりAPIクライアントモジュールをインポートしただけで、攻撃者が任意のコードを実行できるという深刻なものです。あなたのプロジェクトがOrval 8.19.0以前のバージョンを使用しており、信頼できないAPI仕様からクライアントを生成している場合、早急な対応が求められます。

脆弱性の詳細：なぜRCEが発生するのか？

この脆弱性の根源は、OrvalがZodクライアント（およびHonoクライアント）を生成する際のコードエスケープの不備にあります。具体的には、HTTPヘッダーのパラメーター名をリクエスト検証スキーマのオブジェクトキーとして扱う際に、二重引用符（`"`）を適切にエスケープしないことが問題です。

攻撃者はこの不備を悪用し、悪意のあるAPI定義（OpenAPI/Swagger仕様ファイル）内で、ヘッダー名に「`"` とJavaScriptコード」のような悪質な文字列を仕込むことができます。すると、Orvalによって生成されるJavaScriptコード内で、オブジェクトキーの定義が意図せず途中で閉じられ、その後に続く攻撃者のコードがJavaScriptの「計算プロパティキー（Computed Property Key）」として不正に挿入されてしまいます。

Import-time RCE：インポートするだけで実行される危険性

最も危険なのは、この不正な計算プロパティキーが、生成されたAPIクライアントモジュールがプロジェクトにインポートされる際に、JavaScriptエンジンによって即座に評価・実行されてしまう点です。これは、あなたが書いたコードが実行される前に、依存モジュールのインポート段階で攻撃者のコードが実行されることを意味します。これにより、攻撃者はターゲットシステム上で任意のJavaScriptコードやOSコマンドを実行できるため、情報漏洩やシステムの乗っ取りなど、極めて深刻な被害につながる可能性があります。

この脆弱性の影響を受けるのは、攻撃者が制御する（または改ざんされた）OpenAPI/Swagger仕様ファイルからOrvalを用いてZodまたはHonoクライアントを生成し、そのクライアントコードを自身のプロジェクトでインポートして使用している場合です。対象となるOrvalのバージョンは8.19.0以前です。

開発者が取るべき対策：今すぐできること

この深刻な脆弱性からプロジェクトを守るため、以下の対応策を速やかに実施してください。

最も重要かつ即効性のある対策は、この脆弱性が修正された最新版のOrvalに速やかにアップデートすることです。パッケージマネージャー（npmやyarnなど）を使って、Orvalのバージョンを最新に保ちましょう。

API仕様からクライアントコードを生成する際、OrvalがZodオブジェクトのキー生成において、ヘッダーパラメーター名をJavaScript文字列キーとして安全にエスケープ処理するように実装が改善されていることを確認してください。もし生成されたコードをカスタマイズしている場合は、文字列エスケープに `JSON.stringify()` のような安全な手法を使用することを検討してください。また、生成されたコードであっても、重要な部分についてはレビューを行う習慣をつけましょう。

オブジェクトリテラル内で計算プロパティキーを定義する構文（`[ ]`）の隣に、生のパラメーター名を直接挿入しないよう注意してください。この脆弱性の根本原因であるエスケープ不備を避けるための基本的な考え方です。

まとめ：常に依存関係の安全性を意識する

今回のOrvalの脆弱性は、開発ツールやライブラリといった依存関係に潜むリスクの大きさを改めて示しています。特に、API定義のように外部から提供されるデータソースを基にコードを自動生成する場合、そのデータソースが信頼できるものであるか、そして生成ツールが安全にコードを扱っているかを常に意識する必要があります。フロントエンド開発者は、常に使用しているツールのバージョンを最新に保ち、セキュリティ情報を定期的にチェックする習慣をつけましょう。