CVE-2026-115754
ŚrednieCVSS 4.7Streszczenie
serialize-javascript w wersjach od 7.0.1 przed 7.1.3 zawiera podatność cross-site scripting. Atakujący może wyłamać się z elementu script HTML, kończąc serializowane źródło funkcji nieescapowanym ciągiem </script.
Ocena ryzyka
Atakujący kontrolujący źródło funkcji przez podszyty toString() może wstrzyknąć aktywny znacznik HTML, np. obsługę img onerror, co prowadzi do wykonania złośliwego skryptu w przeglądarce ofiary.
Rekomendacja
Zaktualizuj serialize-javascript do wersji 7.1.3 lub nowszej.
Inne podatności w serialize-javascript
Zobacz wszystkie- CVE-2026-97711Niskie
Serialize JavaScript w wersjach od 7.1.1 do 7.1.2 nie w pełni chroni serializowanych funkcji przed tagami zamykającymi skrypty, gdy źródło funkcji jest pod wpływem atakującego. Może to prowadzić do przedwczesnego zamknięcia elementu script i parsowania pozostałego wyniku jako HTML, co umożliwia cross-site scripting (XSS) w kontekście strony. Problem dotyczy tylko wartości funkcji i został naprawiony w wersji 7.1.2.
- CVE-2024-11831Średnie
W npm-serialize-javascript znaleziono lukę polegającą na niewystarczającym oczyszczaniu danych wejściowych, takich jak wyrażenia regularne lub inne typy obiektów JavaScript. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu, który może zostać wykonany podczas deserializacji w przeglądarce, prowadząc do ataków typu Cross-site scripting (XSS).
Oryginalny opis (angielski, źródło NVD)
serialize-javascript from 7.0.1 before 7.1.3 contains a cross-site scripting vulnerability that allows attackers to break out of HTML script elements by ending serialized function source text with an unescaped </script. Attackers controlling a function's source via a spoofed toString() can combine surrounding output delimiters and later values to inject live markup such as img onerror handlers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS