- Yama var
- Son 7 gün
- CWE-79
- CWE-116
CVE-2026-116582
Seroval'da RegExp kaynaklarıyla HTML script öğesine betik enjeksiyonu
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Seroval, JSON.stringify yeteneklerinin ötesindeki karmaşık yapılar dahil olmak üzere JavaScript değerlerinin metne dönüştürülmesini sağlar. 1.0.0 öncesi sürümlerde ve 1.5.5 ile 1.6.10 arasındaki sürümlerde, JavaScript çıktısı üreten API'ler, eğik çizgi karakteri içeren bir RegExp kaynağını HTML script öğesi için gereken kaçış işlemi uygulanmadan serileştirmektedir. Bir uygulama, düzenli ifade sözdizimini güvenilmeyen girdiden oluşturduğunda, bu RegExp'i serialize, serializeAsync, crossSerialize, crossSerializeAsync, crossSerializeStream, Serializer veya compileJSON ile serileştirdiğinde ve sonucu bir HTML script öğesine gömdüğünde etkilenir. Hazırlanmış kaynak, öğeyi sonlandırabilir ve sayfada başka bir kullanıcıya gönderilen kodun betik olarak çalışmasına neden olabilir. Bu sorun 1.6.10 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Seroval facilitates JavaScript value stringification, including complex structures beyond JSON.stringify capabilities. Prior to 1.0.0 and from 1.5.5 until 1.6.10, the JavaScript-output APIs serialize a RegExp source containing a less-than character without the escaping needed for an HTML script element. An application is affected when it builds regular expression syntax from untrusted input, serializes that RegExp through serialize, serializeAsync, crossSerialize, crossSerializeAsync, crossSerializeStream, Serializer, or compileJSON, and embeds the result in an HTML script element. The crafted source can terminate the element and execute script in the page received by another user. This issue is fixed in version 1.6.10.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lxsmnsyc seroval | < 1.0.0 | 1.0.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.