CVE-2026-116580 in Seroval
Zusammenfassung
von VulDB • 27.10.2026
Seroval ermöglicht die Stringifizierung von JavaScript-Werten, einschließlich komplexer Strukturen, die über die Fähigkeiten von JSON.stringify hinausgehen. Vor Version 1.6.8 baut fromJSON eine AsyncIteratorFactoryInstance neu auf, indem es source.on(listener) aufruft, ohne zu verlangen, dass source ein echter interner Stream ist. Bei nicht vertrauenswürdigen Seroval-Eingaben und einem Anwendungs-Plugin, das einen aufrufbaren Wert oder ein Objekt zurückgibt, das eine on-Methode exponiert, kann eine manipulierte Node eine Kennung wiederverwenden, sodass der Deserializer den vom Plugin erzeugten Wert aufruft. Dies ist eine Variante mit unvollständiger Korrektur von CVE-2026-59940. Die daraus resultierenden Auswirkungen auf Vertraulichkeit, Integrität oder Verfügbarkeit hängen vom Verhalten ab, das durch das Anwendungs-Plugin exponiert wird. Dieses Problem wurde in Version 1.6.8 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.