CVE-2026-116582
Açıklama
Seroval, JSON.stringify yeteneklerinin ötesindeki karmaşık yapılar da dahil olmak üzere JavaScript değerlerinin dizeleştirilmesini kolaylaştırır. 1.0.0 sürümünden öncesinde ve 1.5.5 ile 1.6.10 arasındaki sürümlerde, JavaScript çıktı API'leri, bir HTML script öğesi için gereken kaçış karakterleri olmadan küçüktür (<) karakteri içeren bir RegExp kaynağını serileştirir. Bir uygulama; güvenilmeyen girdiden düzenli ifade sözdizimi oluşturduğunda, bu RegExp'i serialize, serializeAsync, crossSerialize, crossSerializeAsync, crossSerializeStream, Serializer veya compileJSON aracılığıyla serileştirdiğinde ve sonucu bir HTML script öğesine yerleştirdiğinde etkilenir. Hazırlanmış kaynak, öğeyi sonlandırabilir ve başka bir kullanıcı tarafından alınan sayfada betik çalıştırabilir. Bu sorun 1.6.10 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- seroval1.6.10, 1.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| serovalnpm | 1.5.5 ≤ v < 1.6.10, v < 1.0.0 | 1.6.10, 1.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.