CVE-2026-104846
Seroval: assimilação thenable de Promise de `fromJSON()` invoca callables produzidos por plugins (contorno de GHSA-mv8w-475r-vwqw)
Traduzido automaticamente do inglês.
Uma Promise node cumprida deserializada por fromJSON() pode disparar a invocação não intencional de um callable produzido por um plugin através da assimilação nativa de thenable do ECMAScript. Isso contorna o conserto de confusão de tipo no seroval@1.5.3 (GHSA-mv8w-475r-vwqw / CVE-2026-59940) e afeta todas as versões com capacidade de plugin desde 0.12.0 até a atual 1.6.0.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.8 (v3.1)
- EPSS
- 0,35% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- seroval (npm) >= 0.12.0, <= 1.6.0, corrigido em 1.6.2 · GHSA-p6vx-979v-rg4c