CVE-2026-115754

Serialize JavaScript serializuje wartości JavaScript do nadzbioru JSON obejmującego wyrażenia regularne i funkcje. Przed wersją 7.1.3 logika ucieczki źródła funkcji nie neutralizuje samego prefiksu zamykającego skrypt, gdy tekst źródłowy funkcji pod wpływem atakującego kończy się dokładnie na tym prefiksie. Ponieważ każde ciało funkcji jest ucieczkowane niezależnie, ogranicznik dostarczony przez otaczające dane wyjściowe serializacji może zakończyć element skryptu HTML, a późniejsza serializowana wartość dostarcza wstrzyknięty znacznik, który staje się aktywnym elementem na stronie. Wykorzystanie wymaga kontroli nad tekstem źródłowym serializowanej funkcji, np. poprzez podszycie się pod toString().

Serialize JavaScript w wersjach od 7.1.1 do 7.1.2 nie w pełni chroni serializowanych funkcji przed tagami zamykającymi skrypty, gdy źródło funkcji jest pod wpływem atakującego. Może to prowadzić do przedwczesnego zamknięcia elementu script i parsowania pozostałego wyniku jako HTML, co umożliwia cross-site scripting (XSS) w kontekście strony. Problem dotyczy tylko wartości funkcji i został naprawiony w wersji 7.1.2.

W npm-serialize-javascript znaleziono lukę polegającą na niewystarczającym oczyszczaniu danych wejściowych, takich jak wyrażenia regularne lub inne typy obiektów JavaScript. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu, który może zostać wykonany podczas deserializacji w przeglądarce, prowadząc do ataków typu Cross-site scripting (XSS).