CVE-2026-97711
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Serialize JavaScript w wersjach od 7.1.1 do 7.1.2 nie w pełni chroni serializowanych funkcji przed tagami zamykającymi skrypty, gdy źródło funkcji jest pod wpływem atakującego. Może to prowadzić do przedwczesnego zamknięcia elementu script i parsowania pozostałego wyniku jako HTML, co umożliwia cross-site scripting (XSS) w kontekście strony. Problem dotyczy tylko wartości funkcji i został naprawiony w wersji 7.1.2.
Ocena ryzyka
Podatność może umożliwić atakującemu wstrzyknięcie złośliwego kodu JavaScript w kontekście strony, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków XSS.
Rekomendacja
Zaleca się aktualizację biblioteki serialize-javascript do wersji 7.1.2 lub nowszej, aby naprawić podatność.
Inne podatności w serialize-javascript
Zobacz wszystkie- CVE-2026-115897Niskie
Serialize JavaScript serializuje wartości JavaScript do nadzbioru JSON obejmującego wyrażenia regularne i funkcje. Przed wersją 7.1.3 logika ucieczki źródła funkcji nie neutralizuje samego prefiksu zamykającego skrypt, gdy tekst źródłowy funkcji pod wpływem atakującego kończy się dokładnie na tym prefiksie. Ponieważ każde ciało funkcji jest ucieczkowane niezależnie, ogranicznik dostarczony przez otaczające dane wyjściowe serializacji może zakończyć element skryptu HTML, a późniejsza serializowana wartość dostarcza wstrzyknięty znacznik, który staje się aktywnym elementem na stronie. Wykorzystanie wymaga kontroli nad tekstem źródłowym serializowanej funkcji, np. poprzez podszycie się pod toString().
- CVE-2026-115754Średnie
serialize-javascript w wersjach od 7.0.1 przed 7.1.3 zawiera podatność cross-site scripting. Atakujący może wyłamać się z elementu script HTML, kończąc serializowane źródło funkcji nieescapowanym ciągiem </script.
- CVE-2024-11831Średnie
W npm-serialize-javascript znaleziono lukę polegającą na niewystarczającym oczyszczaniu danych wejściowych, takich jak wyrażenia regularne lub inne typy obiektów JavaScript. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu, który może zostać wykonany podczas deserializacji w przeglądarce, prowadząc do ataków typu Cross-site scripting (XSS).
Oryginalny opis (angielski, źródło NVD)
Serialize JavaScript serializes JavaScript values to a superset of JSON that includes regular expressions and functions. From 7.1.1 until 7.1.2, function values serialized by serialize-javascript are not fully protected against script-closing tags in attacker-influenced function source because SCRIPT_CLOSE_REGEXP can consume a second closing tag inside one match. When the serialized function is embedded in a script element, the surviving closing tag terminates the element early and causes the remaining output to be parsed as HTML, enabling cross-site scripting in the page origin. Only function values are affected; ordinary data values and options.isJSON output are unaffected. This issue is fixed in version 7.1.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS