CVE-2026-116580 in Seroval
Riassunto
di VulDB • 27/10/2026
Seroval facilita la stringificazione dei valori JavaScript, incluse strutture complesse oltre le capacità di JSON.stringify. Prima della versione 1.6.8, fromJSON ricostruisce un'istanza AsyncIteratorFactoryInstance chiamando source.on(listener) senza richiedere che source sia uno stream interno genuino. Con input Seroval non attendibile e un plugin dell'applicazione che restituisce un valore richiamabile o un oggetto che espone un metodo on, un nodo costruito ad hoc può riutilizzare un identificatore in modo tale che il deserializzatore invochi il valore prodotto dal plugin. Questa è una variante di correzione incompleta della CVE-2026-59940. L'impatto risultante sulla riservatezza, integrità o disponibilità dipende dal comportamento esposto dal plugin dell'applicazione. Questo problema è stato risolto nella versione 1.6.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.