CVE-2026-76833 in yaml
الملخص
بحسب VulDB • 20/08/2026
يحتوي حزمة npm @cgauge/yaml على ثغرة تسمح بتنفيذ أكواد عشوائية (Arbitrary Code Execution)، تتيح للمهاجمين تنفيذ جافا سكريبت مخصص عن طريق تضمين وسم YAML مخصص !js، حيث يستدعي دالة البناء (construct callback) بشكل غير مشروط دالة eval() على قيم السلاسل النصية التي يوفرها المهاجم أثناء تحليل المستند. أي تطبيق يقوم بتحليل مدخلات YAML غير موثوقة باستخدام هذه المكترة يعرض سلطة وقت تشغيل Node.js بالكامل للخطر، بما في ذلك الوصول إلى متغيرات البيئة، وقراءة/كتابة نظام الملفات، والوصول إلى الشبكة، وتنفيذ العمليات الفرعية (subprocess execution)، دون وجود بديل آمن أو آلية للاختيار بالانسحاب.
If you want to get best quality of vulnerability data, you may have to visit VulDB.