CVE-2026-104846
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Seroval od wersji 0.12.0 do 1.6.2 ma podatność w deserializacji fromJSON węzła kontrolnego spełnionej obietnicy (Promise), która może przekazać wyprodukowany przez plugin thenable z wywoływalną funkcją do natywnego resolvera Promise. Asymilacja thenable w ECMAScript wywołuje tę funkcję nieoczekiwanie, co pozwala sterowanemu przez atakującego JSON na wywołanie kodu w aplikacjach używających Seroval z pluginami. Ta ścieżka omija remediację typu Promise resolver w wersji 1.5.3 dla CVE-2026-59940, ponieważ nieoczekiwane wywołanie następuje przez natywne rozliczenie Promise po deserializacji odwołanej wartości. Problem został naprawiony w wersji 1.6.2.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu w aplikacji przez atakującego, który może dostarczyć specjalnie spreparowany JSON, co może prowadzić do naruszenia bezpieczeństwa aplikacji i jej danych.
Rekomendacja
Zaleca się aktualizację Seroval do wersji 1.6.2 lub nowszej oraz ograniczenie używania pluginów tylko do zaufanych źródeł.
Inne podatności w Seroval
Zobacz wszystkie- CVE-2026-23956Wysokie
Seroval umożliwia konwersję wartości JS na ciągi, w tym złożone struktury, które wykraczają poza możliwości JSON.stringify. W wersjach od 0.2.0 do 1.4.0, nadpisanie serializacji RegExp z bardzo dużymi wzorcami może prowadzić do wyczerpania pamięci podczas deserializacji.
- CVE-2026-59940Krytyczne
Seroval przed wersją 1.5.3 umożliwia atakującemu kontrolowaną deserializację JSON, która może prowadzić do niepożądanych efektów ubocznych, a w połączeniu z frameworkami rejestrującymi wywoływalne wrappery – do niezamierzonego wykonania kodu po stronie serwera lub zdalnego wykonania kodu.
- CVE-2026-116584Wysokie
W Seroval od wersji 1.4.1 do 1.6.8 funkcje fromJSON i fromCrossJSON nie wymagają, aby lista elementów węzła tablicy była rzeczywistą tablicą. Mały spreparowany ładunek może podać kontrolowaną przez atakującego długość, która niezależnie od rozmiaru ładunku określa alokację pamięci i liczbę iteracji dekodera, umożliwiając nieuwierzytelnionemu żądaniu wyczerpanie procesu lub zablokowanie jego wątku. Problem naprawiono w wersji 1.6.8.
- CVE-2026-116583Średnie
W bibliotece Seroval od wersji 1.6.0 do 1.6.11 interfejsy generujące JavaScript pobierają nazwę konstruktora tablicy typowanej z właściwości, którą można zastąpić własną właściwością constructor. Gdy aplikacja kopiuje niezaufane właściwości na tablicę typowaną i przekazuje ją do serializacji, kontrolowana przez atakującego nazwa jest zapisywana jako wykonywalny JavaScript.
- CVE-2026-116582Średnie
W bibliotece Seroval przed wersją 1.0.0 oraz od 1.5.5 do 1.6.10 interfejsy generujące JavaScript serializują źródło RegExp zawierające znak mniejszości bez wymaganego escapowania dla elementu script HTML. Gdy aplikacja buduje wyrażenie regularne z niezaufanych danych i osadza wynik w elemencie script, spreparowane źródło może zamknąć element i wykonać skrypt.
- CVE-2026-116581Wysokie
Biblioteka Seroval przed wersją 1.6.8 nie waliduje indeksu 'done' węzła sekwencji podczas deserializacji (fromJSON i fromCrossJSON). Spreparowany indeks może utworzyć iterator, który nigdy się nie kończy, co przy przetwarzaniu niezaufanych danych prowadzi do zablokowania pętli zdarzeń, wyczerpania pamięci lub niedostępności usługi.
- CVE-2026-116580Wysokie
W Seroval przed wersją 1.6.8 funkcja fromJSON odbudowuje AsyncIteratorFactoryInstance, wywołując source.on(listener) bez sprawdzenia, czy source jest prawdziwym wewnętrznym strumieniem. Przy niezaufanych danych wejściowych i wtyczce aplikacji zwracającej wartość wywoływalną lub obiekt z metodą 'on', spreparowany węzeł może ponownie użyć identyfikatora i wymusić wywołanie wartości utworzonej przez wtyczkę.
- CVE-2026-104845Wysokie
Seroval przed wersją 1.6.3 ma podatność w deserializacji TypedArray, która pozwala atakującemu na podanie małego obiektu JSON z dużą wartością length, powodując nadmierną alokację pamięci i wyczerpanie zasobów CPU lub pamięci.
Oryginalny opis (angielski, źródło NVD)
Seroval facilitates JS value stringification, including complex structures beyond JSON.stringify capabilities. From 0.12.0 until 1.6.2, fromJSON deserialization of a fulfilled Promise control node can pass a plugin-produced callable-bearing thenable to a native Promise resolver. ECMAScript thenable assimilation then invokes the callable unexpectedly, allowing attacker-controlled JSON to trigger code in applications using plugin-capable Seroval releases. This path bypasses the Promise resolver type-confusion remediation in version 1.5.3 for CVE-2026-59940 because the unexpected invocation occurs through native Promise settlement after the referenced value is deserialized. This issue is fixed in version 1.6.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS