- Yama var
- Son 7 gün
- CWE-835
- CWE-1284
CVE-2026-116581
Seroval fromJSON ayrıştırıcısında sonsuz iterator nedeniyle kimlik doğrulamasız hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Seroval, JSON.stringify yeteneklerinin ötesindeki karmaşık yapılar dahil olmak üzere JavaScript değerlerinin metne dönüştürülmesini sağlar. 1.6.8 sürümünden önce fromJSON ve fromCrossJSON, bir sequence düğümünün done indeksini doğrulamamaktadır. Hazırlanmış bir done indeksi, uygulama kodu tarafından tamamlanana kadar tüketildiğinde hiç bitmeyen bir iterator oluşturabilir. Güvenilmeyen girdiyi ayrıştıran bir hizmete kimlik doğrulaması yapılmadan gönderilen bir istek, bu nedenle olay döngüsünü (event loop) bloke edebilir, süreç belleğini tüketebilir veya hizmetin kullanılamaz hale gelmesine yol açabilir. Bu sorun, 1.6.8 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Seroval facilitates JavaScript value stringification, including complex structures beyond JSON.stringify capabilities. Prior to 1.6.8, fromJSON and fromCrossJSON do not validate a sequence node's done index. A crafted done index can create an iterator that never finishes when application code consumes it to completion. An unauthenticated request to a service that deserializes untrusted input can therefore block the event loop, exhaust process memory, or make the service unavailable. This issue is fixed in version 1.6.8.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lxsmnsyc seroval | < 1.6.8 | 1.6.8 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.