CVE-2026-23737
Təsvir
seroval, JSON.stringify imkanlarını aşan mürəkkəb strukturlar da daxil olmaqla, JS dəyərlərinin sətirə çevrilməsini təmin edir. 1.4.0 və daha aşağı versiyalarda, JSON deserializasiya komponentində giriş məlumatlarının yanlış idarə edilməsi ixtiyari JavaScript kodunun icrasına səbəb ola bilər. Sabit dəyərin və xəta deserializasiyasının üstələnməsi vasitəsilə təhlükəsiz olmayan JS qiymətləndirməsinə dolayı yolla giriş əldə etməklə boşluqdan istifadə etmək mümkündür. Hücumçuların minimum olaraq eyni funksiyaya 4 ayrı sorğu göndərmək imkanı və seriyalaşdırılmış məlumatların sonrakı işləmə zamanı necə istifadə olunduğu barədə qismən biliyi olmalıdır. Bu zəiflik, klientdən serverə ötürmə ssenarisində fromJSON və fromCrossJSON funksiyalarına təsir göstərir. Problem 1.4.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- lxsmnsyc seroval1.4.1 və ya daha yeni versiya
- seroval1.4.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lxsmnsyc seroval | v < 1.4.1 | 1.4.1 |
| serovalnpm | v < 1.4.1 | 1.4.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.