CVE-2026-23956

Wysokie

Opublikowano: 22/01/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Seroval umożliwia konwersję wartości JS na ciągi, w tym złożone struktury, które wykraczają poza możliwości JSON.stringify. W wersjach od 0.2.0 do 1.4.0, nadpisanie serializacji RegExp z bardzo dużymi wzorcami może prowadzić do wyczerpania pamięci podczas deserializacji.

Ocena ryzyka

Nadpisanie serializacji RegExp z wzorcami powodującymi katastrofalne cofanie może prowadzić do ataków typu ReDoS, co stwarza ryzyko odmowy usługi w aplikacjach korzystających z seroval.

Rekomendacja

Zaleca się aktualizację do wersji 1.4.1, aby usunąć tę podatność oraz monitorowanie użycia RegExp w aplikacjach.

Inne podatności w seroval

CVE-2026-59940Krytyczne
Seroval przed wersją 1.5.3 umożliwia atakującemu kontrolowaną deserializację JSON, która może prowadzić do niepożądanych efektów ubocznych, a w połączeniu z frameworkami rejestrującymi wywoływalne wrappery – do niezamierzonego wykonania kodu po stronie serwera lub zdalnego wykonania kodu.

Oryginalny opis (angielski, źródło NVD)

seroval facilitates JS value stringification, including complex structures beyond JSON.stringify capabilities. In versions 0.2.0 through 1.4.0, overriding RegExp serialization with extremely large patterns can exhaust JavaScript runtime memory during deserialization. Additionally, overriding RegExp serialization with patterns that trigger catastrophic backtracking can lead to ReDoS (Regular Expression Denial of Service). This issue has been fixed in version 1.4.1.