CVSS 4.0
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Атакува се
Време до експлоатация
Атакува се по мрежата, при специфични условия, само при определена конфигурация или състояние на системата, без вход и след действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Seroval facilitates JavaScript value stringification, including complex structures beyond JSON.stringify capabilities. From 1.6.0 until 1.6.11, the JavaScript-output APIs derive a typed array's constructor name from a property on the value that can be replaced by an own constructor property. When application code copies untrusted properties onto a typed array and then passes it to serialize, serializeAsync, crossSerialize, crossSerializeAsync, crossSerializeStream, Serializer, or compileJSON, the attacker-controlled name is written as executable JavaScript and can run in the page receiving the output. This issue is fixed in version 1.6.11.
Засегнати продукти
- lxsmnsyc seroval: >= 1.6.0, < 1.6.11
Вид слабост
История
- 26 октомври 2026 Публикувано
Други уязвимости в lxsmnsyc seroval
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-116583
- https://nvd.nist.gov/vuln/detail/CVE-2026-116583
- https://github.com/lxsmnsyc/seroval/security/advisories/GHSA-f86p-h4j2-7qgj
- https://github.com/lxsmnsyc/seroval/commit/1313ebbad9687bc0245e08bfd576376e57e0e5c1
- https://github.com/lxsmnsyc/seroval/releases/tag/[email protected]