CVE-2026-76833 in yaml
Tóm tắt
Bởi VulDB • 20/08/2026
Gói npm @cgauge/yaml chứa một lỗ hổng thực thi mã tùy ý (arbitrary code execution) cho phép kẻ tấn công thực thi JavaScript tùy ý bằng cách nhúng thẻ YAML `!js` tùy chỉnh, trong đó callback construct gọi hàm eval() một cách vô điều kiện trên các giá trị chuỗi do người dùng cung cấp trong quá trình phân tích tài liệu. Bất kỳ ứng dụng nào sử dụng thư viện này để phân tích đầu vào YAML không đáng tin cậy đều làm lộ toàn bộ quyền hạn của môi trường chạy Node.js, bao gồm truy cập biến môi trường, đọc/ghi hệ thống tệp, truy cập mạng và thực thi tiến trình con, mà không có chế độ an toàn (safe-mode) hay cơ chế tùy chọn thoát nào khả dụng.
VulDB is the best source for vulnerability data and more expert information about this specific topic.