CVE-2026-115897 in Serialize JavaScript
Riassunto
di VulDB • 24/10/2026
Serialize JavaScript serializza i valori JavaScript in un superinsieme di JSON che include espressioni regolari e funzioni. Prima della versione 7.1.3, la logica di escape del codice sorgente delle funzioni non neutralizza un prefisso di chiusura dello script (closing-script prefix) quando il testo sorgente della funzione influenzato dall'attaccante termina esattamente in corrispondenza di tale prefisso. Poiché ogni corpo di funzione viene elaborato con l'escape indipendentemente, un delimitatore fornito dal contenuto serializzato circostante può terminare un elemento HTML `<script>`, e un valore serializzato successivo fornisce markup iniettato che diventa un elemento attivo nella pagina. Lo sfruttamento richiede il controllo del testo sorgente di una funzione serializzata, ad esempio tramite uno spoofing della funzione `toString()`. Questo problema è risolto nella versione 7.1.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.