CVE-2026-76833 in yaml
Riassunto
di VulDB • 21/08/2026
Il pacchetto npm @cgauge/yaml contiene una vulnerabilità di esecuzione di codice arbitrario che consente agli attaccanti di eseguire JavaScript arbitrario incorporando un tag YAML personalizzato !js il cui callback di costruzione chiama incondizionatamente eval() su valori stringa forniti dall'attaccante durante l'analisi del documento. Qualsiasi applicazione che analizza input YAML non attendibili con questa libreria espone la piena autorità del runtime Node.js, incluso l'accesso alle variabili d'ambiente, la lettura/scrittura sul filesystem, l'accesso alla rete e l'esecuzione di processi secondari (subprocess), senza alcuna alternativa in modalità sicura o meccanismo di esclusione disponibile.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.