- Son 7 gün
- CWE-79
- CWE-94
CVE-2026-116583
Seroval'da typed array yapıcı özelliği üzerinden kod enjeksiyonu
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Seroval, JSON.stringify yeteneklerinin ötesindeki karmaşık yapıların JavaScript değer dizgeleştirmesini sağlar. 1.6.0 sürümünden 1.6.11 sürümüne kadar, JavaScript çıktısı üreten API'ler bir typed array'in yapıcı (constructor) adını, değerin üzerinde yer alan ve kendi constructor özelliği ile değiştirilebilen bir özellikten türetmektedir. Uygulama kodu güvenilmeyen özellikleri bir typed array'e kopyalayıp ardından bunu serialize, serializeAsync, crossSerialize, crossSerializeAsync, crossSerializeStream, Serializer veya compileJSON fonksiyonlarına aktardığında, saldırganın kontrolündeki ad çalıştırılabilir JavaScript olarak yazılır ve çıktıyı alan sayfada çalışabilir. Sorun 1.6.11 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Seroval facilitates JavaScript value stringification, including complex structures beyond JSON.stringify capabilities. From 1.6.0 until 1.6.11, the JavaScript-output APIs derive a typed array's constructor name from a property on the value that can be replaced by an own constructor property. When application code copies untrusted properties onto a typed array and then passes it to serialize, serializeAsync, crossSerialize, crossSerializeAsync, crossSerializeStream, Serializer, or compileJSON, the attacker-controlled name is written as executable JavaScript and can run in the page receiving the output. This issue is fixed in version 1.6.11.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lxsmnsyc seroval | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.