CVE-2026-104846
Təsvir
Seroval, JSON.stringify imkanlarını aşan mürəkkəb strukturlar da daxil olmaqla, JS dəyərlərinin sətirə çevrilməsini təmin edir. 0.12.0 versiyasından 1.6.2 versiyasına qədər olan dövrdə, yerinə yetirilmiş Promise idarəetmə düyünün fromJSON deserializasiyası, plagin tərəfindən yaradılmış çağırıla bilən thenable obyektini yerli Promise resolver-ə ötürə bilər. Daha sonra ECMAScript thenable assimilyasiyası həmin çağırıla bilən obyekti gözlənilməz şəkildə işə salır və bu da hücumçu tərəfindən idarə olunan JSON-un plagin dəstəkləyən Seroval versiyalarını istifadə edən tətbiqlərdə kodu tetikləməsinə şərait yaradır. Bu yol, istinad edilən dəyər deserializasiya edildikdən sonra gözlənilməz çağırış yerli Promise settlement vasitəsilə baş verdiyi üçün, CVE-2026-59940 üçün 1.5.3 versiyasında tətbiq edilmiş Promise resolver tip qarışıqlığı düzəlişini yan keçir. Bu problem 1.6.2 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- seroval1.6.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| serovalnpm | 0.12.0 ≤ v < 1.6.2 | 1.6.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.