CVE-2026-116582

Seroval umożliwia konwersję wartości JS na ciągi, w tym złożone struktury, które wykraczają poza możliwości JSON.stringify. W wersjach od 0.2.0 do 1.4.0, nadpisanie serializacji RegExp z bardzo dużymi wzorcami może prowadzić do wyczerpania pamięci podczas deserializacji.

Seroval od wersji 0.12.0 do 1.6.2 ma podatność w deserializacji fromJSON węzła kontrolnego spełnionej obietnicy (Promise), która może przekazać wyprodukowany przez plugin thenable z wywoływalną funkcją do natywnego resolvera Promise. Asymilacja thenable w ECMAScript wywołuje tę funkcję nieoczekiwanie, co pozwala sterowanemu przez atakującego JSON na wywołanie kodu w aplikacjach używających Seroval z pluginami. Ta ścieżka omija remediację typu Promise resolver w wersji 1.5.3 dla CVE-2026-59940, ponieważ nieoczekiwane wywołanie następuje przez natywne rozliczenie Promise po deserializacji odwołanej wartości. Problem został naprawiony w wersji 1.6.2.

Seroval przed wersją 1.5.3 umożliwia atakującemu kontrolowaną deserializację JSON, która może prowadzić do niepożądanych efektów ubocznych, a w połączeniu z frameworkami rejestrującymi wywoływalne wrappery – do niezamierzonego wykonania kodu po stronie serwera lub zdalnego wykonania kodu.

W Seroval od wersji 1.4.1 do 1.6.8 funkcje fromJSON i fromCrossJSON nie wymagają, aby lista elementów węzła tablicy była rzeczywistą tablicą. Mały spreparowany ładunek może podać kontrolowaną przez atakującego długość, która niezależnie od rozmiaru ładunku określa alokację pamięci i liczbę iteracji dekodera, umożliwiając nieuwierzytelnionemu żądaniu wyczerpanie procesu lub zablokowanie jego wątku. Problem naprawiono w wersji 1.6.8.

W bibliotece Seroval od wersji 1.6.0 do 1.6.11 interfejsy generujące JavaScript pobierają nazwę konstruktora tablicy typowanej z właściwości, którą można zastąpić własną właściwością constructor. Gdy aplikacja kopiuje niezaufane właściwości na tablicę typowaną i przekazuje ją do serializacji, kontrolowana przez atakującego nazwa jest zapisywana jako wykonywalny JavaScript.

Biblioteka Seroval przed wersją 1.6.8 nie waliduje indeksu 'done' węzła sekwencji podczas deserializacji (fromJSON i fromCrossJSON). Spreparowany indeks może utworzyć iterator, który nigdy się nie kończy, co przy przetwarzaniu niezaufanych danych prowadzi do zablokowania pętli zdarzeń, wyczerpania pamięci lub niedostępności usługi.

W Seroval przed wersją 1.6.8 funkcja fromJSON odbudowuje AsyncIteratorFactoryInstance, wywołując source.on(listener) bez sprawdzenia, czy source jest prawdziwym wewnętrznym strumieniem. Przy niezaufanych danych wejściowych i wtyczce aplikacji zwracającej wartość wywoływalną lub obiekt z metodą 'on', spreparowany węzeł może ponownie użyć identyfikatora i wymusić wywołanie wartości utworzonej przez wtyczkę.

Seroval przed wersją 1.6.3 ma podatność w deserializacji TypedArray, która pozwala atakującemu na podanie małego obiektu JSON z dużą wartością length, powodując nadmierną alokację pamięci i wyczerpanie zasobów CPU lub pamięci.