- Yama var
- Son 7 gün
- CWE-502
CVE-2026-116580
Seroval'da serileştirmeyi çözme sırasında saldırgan seçimli çağrılabilir nesnelerin çalıştırılması
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Seroval, JSON.stringify yeteneklerinin ötesindeki karmaşık yapılar dahil olmak üzere JavaScript değerlerinin metne dönüştürülmesini sağlar. 1.6.8 sürümünden önce fromJSON, kaynağın gerçek bir dahili akış olup olmadığını doğrulamadan AsyncIteratorFactoryInstance nesnesini source.on(listener) çağrısıyla yeniden oluşturmaktadır. Güvenilmeyen Seroval girdisi ve çağrılabilir bir değer döndüren ya da on metodunu sunan bir uygulama eklentisi bulunduğunda, özel hazırlanmış bir düğüm tanımlayıcıyı yeniden kullanabilir ve böylece çözümleyici eklentinin ürettiği değeri çağırabilir. Bu, CVE-2026-59940 için eksik kalan bir düzeltme varyantıdır. Ortaya çıkan gizlilik, bütünlük veya erişilebilirlik etkisi, uygulama eklentisinin sunduğu davranışa bağlıdır. Sorun 1.6.8 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Seroval facilitates JavaScript value stringification, including complex structures beyond JSON.stringify capabilities. Prior to 1.6.8, fromJSON rebuilds an AsyncIteratorFactoryInstance by calling source.on(listener) without requiring source to be a genuine internal stream. With untrusted Seroval input and an application plugin that returns a callable value or an object exposing an on method, a crafted node can reuse an identifier so the deserializer invokes the plugin-produced value. This is an incomplete-fix variant of CVE-2026-59940. The resulting confidentiality, integrity, or availability impact depends on the behavior exposed by the application plugin. This issue is fixed in version 1.6.8.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lxsmnsyc seroval | < 1.6.8 | 1.6.8 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.