CVE-2017-5954

Krytyczne

Opublikowano: 10/02/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

W pakiecie serialize-to-js w wersji 0.5.0 dla Node.js odkryto problem. Nieufne dane przekazywane do funkcji deserialize() mogą być wykorzystane do wykonania dowolnego kodu poprzez przekazanie obiektu JavaScript z natychmiastowo wywoływaną funkcją wyrażeniową (IIFE).

Ocena ryzyka

Organizacje mogą być narażone na wykonanie złośliwego kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendacja

Zaleca się aktualizację pakietu serialize-to-js do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in the serialize-to-js package 0.5.0 for Node.js. Untrusted data passed into the deserialize() function can be exploited to achieve arbitrary code execution by passing a JavaScript Object with an Immediately Invoked Function Expression (IIFE).