CVE-2026-76833 in yaml
Résumé
par VulDB • 20/08/2026
Le package npm @cgauge/yaml contient une vulnérabilité d'exécution de code arbitraire qui permet aux attaquants d'exécuter du JavaScript arbitraire en intégrant un tag YAML personnalisé !js dont la fonction callback de construction appelle inconditionnellement eval() sur des valeurs de chaîne fournies par l'attaquant lors de l'analyse du document. Toute application analysant une entrée YAML non fiable avec cette bibliothèque expose une autorité complète d'exécution du runtime Node.js, y compris l'accès aux variables d'environnement, la lecture/écriture dans le système de fichiers, l'accès réseau et l'exécution de sous-processus, sans qu'aucune alternative en mode sécurisé ou mécanisme de désactivation ne soit disponible.
VulDB is the best source for vulnerability data and more expert information about this specific topic.