CVE-2026-116581

Seroval umożliwia konwersję wartości JS na ciągi, w tym złożone struktury, które wykraczają poza możliwości JSON.stringify. W wersjach od 0.2.0 do 1.4.0, nadpisanie serializacji RegExp z bardzo dużymi wzorcami może prowadzić do wyczerpania pamięci podczas deserializacji.

Seroval od wersji 0.12.0 do 1.6.2 ma podatność w deserializacji fromJSON węzła kontrolnego spełnionej obietnicy (Promise), która może przekazać wyprodukowany przez plugin thenable z wywoływalną funkcją do natywnego resolvera Promise. Asymilacja thenable w ECMAScript wywołuje tę funkcję nieoczekiwanie, co pozwala sterowanemu przez atakującego JSON na wywołanie kodu w aplikacjach używających Seroval z pluginami. Ta ścieżka omija remediację typu Promise resolver w wersji 1.5.3 dla CVE-2026-59940, ponieważ nieoczekiwane wywołanie następuje przez natywne rozliczenie Promise po deserializacji odwołanej wartości. Problem został naprawiony w wersji 1.6.2.

Seroval przed wersją 1.5.3 umożliwia atakującemu kontrolowaną deserializację JSON, która może prowadzić do niepożądanych efektów ubocznych, a w połączeniu z frameworkami rejestrującymi wywoływalne wrappery – do niezamierzonego wykonania kodu po stronie serwera lub zdalnego wykonania kodu.

W Seroval od wersji 1.4.1 do 1.6.8 funkcje fromJSON i fromCrossJSON nie wymagają, aby lista elementów węzła tablicy była rzeczywistą tablicą. Mały spreparowany ładunek może podać kontrolowaną przez atakującego długość, która niezależnie od rozmiaru ładunku określa alokację pamięci i liczbę iteracji dekodera, umożliwiając nieuwierzytelnionemu żądaniu wyczerpanie procesu lub zablokowanie jego wątku. Problem naprawiono w wersji 1.6.8.

W bibliotece Seroval od wersji 1.6.0 do 1.6.11 interfejsy generujące JavaScript pobierają nazwę konstruktora tablicy typowanej z właściwości, którą można zastąpić własną właściwością constructor. Gdy aplikacja kopiuje niezaufane właściwości na tablicę typowaną i przekazuje ją do serializacji, kontrolowana przez atakującego nazwa jest zapisywana jako wykonywalny JavaScript.

W bibliotece Seroval przed wersją 1.0.0 oraz od 1.5.5 do 1.6.10 interfejsy generujące JavaScript serializują źródło RegExp zawierające znak mniejszości bez wymaganego escapowania dla elementu script HTML. Gdy aplikacja buduje wyrażenie regularne z niezaufanych danych i osadza wynik w elemencie script, spreparowane źródło może zamknąć element i wykonać skrypt.

W Seroval przed wersją 1.6.8 funkcja fromJSON odbudowuje AsyncIteratorFactoryInstance, wywołując source.on(listener) bez sprawdzenia, czy source jest prawdziwym wewnętrznym strumieniem. Przy niezaufanych danych wejściowych i wtyczce aplikacji zwracającej wartość wywoływalną lub obiekt z metodą 'on', spreparowany węzeł może ponownie użyć identyfikatora i wymusić wywołanie wartości utworzonej przez wtyczkę.

Seroval przed wersją 1.6.3 ma podatność w deserializacji TypedArray, która pozwala atakującemu na podanie małego obiektu JSON z dużą wartością length, powodując nadmierną alokację pamięci i wyczerpanie zasobów CPU lub pamięci.