CVE-2026-104846
Açıklama
Seroval, JSON.stringify yeteneklerinin ötesindeki karmaşık yapılar da dahil olmak üzere JS değerlerinin dizeleştirilmesini kolaylaştırır. 0.12.0 ile 1.6.2 sürümleri arasında, yerine getirilmiş bir Promise kontrol düğümünün fromJSON serisizleştirmesi, yerel bir Promise çözücüye eklenti tarafından üretilen çağrılabilir içeren bir thenable geçirebilir. Ardından gerçekleşen ECMAScript thenable asimilasyonu, çağrılabiliri beklenmedik şekilde tetikler ve saldırgan kontrollü JSON'un, eklenti destekli Seroval sürümlerini kullanan uygulamalarda kod tetiklemesine izin verir. Bu yol, referans verilen değer serisizleştirildikten sonra beklenmedik çağırma işlemi yerel Promise çözümlemesi aracılığıyla gerçekleştiği için, CVE-2026-59940 için sürüm 1.5.3'te uygulanan Promise çözücü tür karışıklığı düzeltmesini atlatır. Bu sorun 1.6.2 sürümünde giderilmiştir.
Nasıl düzeltilir
- seroval1.6.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| serovalnpm | 0.12.0 ≤ v < 1.6.2 | 1.6.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.