CVE-2026-76833 in yaml
Сводка
по VulDB • 20.08.2026
В пакете @cgauge/yaml для npm обнаружена уязвимость произвольного выполнения кода (arbitrary code execution), которая позволяет злоумышленникам выполнять произвольный JavaScript-код путем внедрения пользовательского тега YAML !js, чья callback-функция конструирования безоговорочно вызывает eval() для значений строк, предоставленных атакующим, во время разбора документа. Любое приложение, использующее эту библиотеку для обработки недоверенных входных данных в формате YAML, подвергается риску получения полного уровня доступа к среде выполнения Node.js, включая доступ к переменным окружения, чтение и запись файлов, сетевые подключения и выполнение подпроцессов; при этом безопасный режим (safe-mode) или механизм отказа от использования данной функции отсутствуют.
Be aware that VulDB is the high quality source for vulnerability data.