CVE-2026-97711
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Serialize JavaScript w wersjach od 7.1.1 do 7.1.2 nie w pełni chroni serializowanych funkcji przed tagami zamykającymi skrypty, gdy źródło funkcji jest pod wpływem atakującego. Może to prowadzić do przedwczesnego zamknięcia elementu script i parsowania pozostałego wyniku jako HTML, co umożliwia cross-site scripting (XSS) w kontekście strony. Problem dotyczy tylko wartości funkcji i został naprawiony w wersji 7.1.2.
Ocena ryzyka
Podatność może umożliwić atakującemu wstrzyknięcie złośliwego kodu JavaScript w kontekście strony, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków XSS.
Rekomendacja
Zaleca się aktualizację biblioteki serialize-javascript do wersji 7.1.2 lub nowszej, aby naprawić podatność.
Inne podatności w serialize-javascript
Oryginalny opis (angielski, źródło NVD)
Serialize JavaScript serializes JavaScript values to a superset of JSON that includes regular expressions and functions. From 7.1.1 until 7.1.2, function values serialized by serialize-javascript are not fully protected against script-closing tags in attacker-influenced function source because SCRIPT_CLOSE_REGEXP can consume a second closing tag inside one match. When the serialized function is embedded in a script element, the surviving closing tag terminates the element early and causes the remaining output to be parsed as HTML, enabling cross-site scripting in the page origin. Only function values are affected; ordinary data values and options.isJSON output are unaffected. This issue is fixed in version 7.1.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS