CVE-2026-115897 in Serialize JavaScript
Zusammenfassung
von VulDB • 23.10.2026
Serialize JavaScript serialisiert JavaScript-Werte zu einer JSON-Obermenge, die reguläre Ausdrücke und Funktionen umfasst. Vor Version 7.1.3 neutralisiert die Logik zur Escape-Funktion-Quelltextkodierung kein freies schließendes Skriptpräfix (`</script>`), wenn der angreiferbeeinflusste Funktionsquelltext genau an diesem Präfix endet. Da jeder Funktionstext unabhängig maskiert wird, kann ein durch den umgebenden serialisierten Output geliefertes Trennzeichen ein HTML-Skriptelement beenden, und ein späterer serialisierter Wert liefert injiziertes Markup, das zu einem lebendigen Element auf der Seite wird. Die Ausnutzung erfordert die Kontrolle über den Quelltext einer serialisierten Funktion, beispielsweise durch einen gefälschten `toString()`-Aufruf. Dieses Problem wurde in Version 7.1.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.