CVE-2024-11831
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W npm-serialize-javascript znaleziono lukę polegającą na niewystarczającym oczyszczaniu danych wejściowych, takich jak wyrażenia regularne lub inne typy obiektów JavaScript. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu, który może zostać wykonany podczas deserializacji w przeglądarce, prowadząc do ataków typu Cross-site scripting (XSS).
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości wykonania złośliwego skryptu w przeglądarkach użytkowników, co może prowadzić do kradzieży danych sesji, przejęcia kont lub defacementu strony. Szczególnie narażone są aplikacje przesyłające dane serializowane do klientów webowych.
Rekomendacja
Zaleca się natychmiastową aktualizację pakietu serialize-javascript do najnowszej wersji, która zawiera poprawkę zabezpieczającą. Należy również przejrzeć kod pod kątem użycia niesanitowanych danych wejściowych w kontekście serializacji.
Inne podatności w serialize-javascript
Zobacz wszystkie- CVE-2026-115897Niskie
Serialize JavaScript serializuje wartości JavaScript do nadzbioru JSON obejmującego wyrażenia regularne i funkcje. Przed wersją 7.1.3 logika ucieczki źródła funkcji nie neutralizuje samego prefiksu zamykającego skrypt, gdy tekst źródłowy funkcji pod wpływem atakującego kończy się dokładnie na tym prefiksie. Ponieważ każde ciało funkcji jest ucieczkowane niezależnie, ogranicznik dostarczony przez otaczające dane wyjściowe serializacji może zakończyć element skryptu HTML, a późniejsza serializowana wartość dostarcza wstrzyknięty znacznik, który staje się aktywnym elementem na stronie. Wykorzystanie wymaga kontroli nad tekstem źródłowym serializowanej funkcji, np. poprzez podszycie się pod toString().
- CVE-2026-115754Średnie
serialize-javascript w wersjach od 7.0.1 przed 7.1.3 zawiera podatność cross-site scripting. Atakujący może wyłamać się z elementu script HTML, kończąc serializowane źródło funkcji nieescapowanym ciągiem </script.
- CVE-2026-97711Niskie
Serialize JavaScript w wersjach od 7.1.1 do 7.1.2 nie w pełni chroni serializowanych funkcji przed tagami zamykającymi skrypty, gdy źródło funkcji jest pod wpływem atakującego. Może to prowadzić do przedwczesnego zamknięcia elementu script i parsowania pozostałego wyniku jako HTML, co umożliwia cross-site scripting (XSS) w kontekście strony. Problem dotyczy tylko wartości funkcji i został naprawiony w wersji 7.1.2.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in npm-serialize-javascript. The vulnerability occurs because the serialize-javascript module does not properly sanitize certain inputs, such as regex or other JavaScript object types, allowing an attacker to inject malicious code. This code could be executed when deserialized by a web browser, causing Cross-site scripting (XSS) attacks. This issue is critical in environments where serialized data is sent to web clients, potentially compromising the security of the website or web application using this package.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS