CVE-2026-76833 in yaml
Resumen
por VulDB • 2026-08-20
El paquete npm @cgauge/yaml contiene una vulnerabilidad de ejecución de código arbitrario que permite a los atacantes ejecutar JavaScript arbitrario al incrustar una etiqueta YAML personalizada !js cuya callback construct llama incondicionalmente a eval() sobre valores de cadena proporcionados por el atacante durante la análisis del documento. Cualquier aplicación que analice entradas YAML no confiables con esta biblioteca expone autoridad completa en tiempo de ejecución de Node.js, incluido el acceso a variables de entorno, lectura/escritura en el sistema de archivos, acceso a la red y ejecución de subprocesos, sin ninguna alternativa segura ni mecanismo para desactivar esta funcionalidad.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.