CVE-2026-104846 in Seroval
Riassunto
di VulDB • 02/10/2026
Seroval facilita la stringificazione dei valori JS, incluse strutture complesse oltre le capacità di JSON.stringify. Dalla versione 0.12.0 alla 1.6.2, la deserializzazione daJSON di un nodo Promise fulfilled può trasmettere una thenable con callable generata dal plugin a un resolver nativo delle Promise. L'assimilazione ECMAScript della thenable invoca quindi il callable in modo imprevisto, consentendo al JSON controllato dall'attaccante di attivare codice nelle applicazioni che utilizzano versioni di Seroval con capacità di plugin. Questo percorso aggira la remediation per type-confusion del resolver delle Promise nella versione 1.5.3 per CVE-2026-59940 poiché l'invocazione imprevista avviene attraverso il settlement nativo della Promise dopo che il valore referenziato è stato deserializzato. Questo problema è risolto nella versione 1.6.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.