CVE-2026-76833 in yaml
要約
〜によって VulDB • 2026年08月21日
@cgauge/yaml npmパッケージには、攻撃者がカスタムの!js YAMLタグを埋め込むことで任意のJavaScriptコードを実行できる脆弱性が存在します。この脆弱性は、文書解析中にconstructコールバックが攻撃者から提供された文字列に対して無条件でeval()関数を呼び出すことに起因します。このライブラリを使用して信頼できないYAML入力をパースするあらゆるアプリケーションは、環境変数へのアクセス、ファイルシステムの読み書き、ネットワークアクセス、およびサブプロセスの実行を含む、Node.jsランタイムの完全な権限に晒されます。安全モードの代替手段やオプトアウト機構は利用できません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.