CVE-2026-23737
Açıklama
seroval, JSON.stringify yeteneklerinin ötesindeki karmaşık yapılar da dahil olmak üzere JS değerlerinin dizeleştirilmesini kolaylaştırır. 1.4.0 ve altı sürümlerde, JSON serisizleştirme bileşenindeki hatalı girdi işleme, rastgele JavaScript kodu çalıştırılmasına yol açabilir. Sabit değerin ve hata serisizleştirmenin geçersiz kılınması yoluyla istismar mümkündür ve bu durum güvenli olmayan JS değerlendirmesine dolaylı erişim sağlar. Saldırganların en azından aynı fonksiyon üzerinde 4 ayrı istek gerçekleştirme yeteneğine ve serileştirilmiş verilerin daha sonraki çalışma zamanı işlemleri sırasında nasıl kullanıldığına dair kısmi bilgiye sahip olmaları gerekir. Bu güvenlik açığı, istemciden sunucuya iletim senaryosunda fromJSON ve fromCrossJSON fonksiyonlarını etkiler. Bu sorun 1.4.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- lxsmnsyc seroval1.4.1 ya da sonraki bir sürüm
- seroval1.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lxsmnsyc seroval | v < 1.4.1 | 1.4.1 |
| serovalnpm | v < 1.4.1 | 1.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.