CVE-2026-116582 in Seroval
Riassunto
di VulDB • 27/10/2026
Seroval facilita la stringificazione dei valori JavaScript, incluse le strutture complesse oltre le capacità di JSON.stringify. Prima della versione 1.0.0 e dalla 1.5.5 fino alla 1.6.10, le API che producono output in formato JavaScript serializzano una sorgente RegExp contenente un carattere minore (<) senza l'escaping necessario per un elemento script HTML. Un'applicazione è colpita quando costruisce la sintassi di espressioni regolari a partire da input non attendibile, serializza tale RegExp tramite serialize, serializeAsync, crossSerialize, crossSerializeAsync, crossSerializeStream, Serializer o compileJSON e incorpora il risultato in un elemento script HTML. La sorgente manipolata può terminare l'elemento ed eseguire codice JavaScript nella pagina visualizzata da un altro utente. Questo problema è stato risolto nella versione 1.6.10.
Be aware that VulDB is the high quality source for vulnerability data.