Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Патч
Опубликована

CVE-2026-116582

Seroval: Script injection through RegExp sources in serialized output

Публикация: 26.10.2026·Обновлена: 30.10.2026, 19:17·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Seroval facilitates JavaScript value stringification, including complex structures beyond JSON.stringify capabilities. Prior to 1.0.0 and from 1.5.5 until 1.6.10, the JavaScript-output APIs serialize a RegExp source containing a less-than character without the escaping needed for an HTML script element. An application is affected when it builds regular expression syntax from untrusted input, serializes that RegExp through serialize, serializeAsync, crossSerialize, crossSerializeAsync, crossSerializeStream, Serializer, or compileJSON, and embeds the result in an HTML script element. The crafted source can terminate the element and execute script in the page received by another user. This issue is fixed in version 1.6.10.

Что это значит

Входные данные могут попасть в страницу как активное содержимое. При выполнении условий атаки это затрагивает пользователей приложения.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

lxsmnsyc / seroval 

{
  "status": "affected",
  "version": "< 1.0.0"
}
{
  "status": "affected",
  "version": ">= 1.5.5, < 1.6.10"
}

seroval npm

Диапазон источника: >= 1.5.5, < 1.6.10

Первая исправленная версия по источнику: 1.6.10

seroval npm

Диапазон источника: < 1.0.0

Первая исправленная версия по источнику: 1.0.0

seroval npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "1.6.10",
  "versionStartIncluding": "1.5.5"
}

seroval npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "1.0.0"
}

CVSS: оценки и векторы

CVSS 3.1 · cve4.7
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
AV · Вектор атакисеть
AC · Сложность атакивысокая
PR · Привилегиине нужны
UI · Участие пользователятребуется
S · Область воздействияменяется
C · Конфиденциальностьнизкое
I · Целостностьнизкое
A · Доступностьнет
CVSS 3.1 · security-advisories@github.com4.7
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
AV · Вектор атакисеть
AC · Сложность атакивысокая
PR · Привилегиине нужны
UI · Участие пользователятребуется
S · Область воздействияменяется
C · Конфиденциальностьнизкое
I · Целостностьнизкое
A · Доступностьнет
CVSS 3.1 · ghsa4.7
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
AV · Вектор атакисеть
AC · Сложность атакивысокая
PR · Привилегиине нужны
UI · Участие пользователятребуется
S · Область воздействияменяется
C · Конфиденциальностьнизкое
I · Целостностьнизкое
A · Доступностьнет

Классы CWE

CWE-79 · Межсайтовое выполнение сценариев (XSS)CWE-116 · Неправильное кодирование или ускользание от выхода

Источники и ссылки

Материал · github.com · cveМатериал · github.com · cveМатериал · github.com · cveМатериал · nvd.nist.gov · ghsaМатериал · github.com · ghsaМатериал · github.com · osvCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:11:57.755546+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:06.070073+00:00"
  },
  "scores": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:06.070073+00:00"
  },
  "affected": [
    "cve",
    "ghsa",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:06.070073+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:11:57.755546+00:00"
  },
  "references": [
    "cve",
    "ghsa",
    "nvd",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:06.070073+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:11
  2. Данные обновлены03.11.2026, 00:11
  3. Данные обновлены02.11.2026, 15:14
  4. Данные обновлены02.11.2026, 00:10
  5. Данные обновлены31.10.2026, 11:57
  6. Данные обновлены30.10.2026, 16:57
  7. Появились сведения об исправлении29.10.2026, 00:30
  8. Данные обновлены29.10.2026, 00:24
  9. Данные обновлены28.10.2026, 18:06
  10. Опубликована28.10.2026, 15:17

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-116584
Seroval `fromJSON`/`fromCrossJSON` denial of service via unvalidated array node length
lxsmnsyc / seroval · seroval
Высокий7.5
0,37 %
Патч
26.10.2026
CVE-2026-116580
Seroval: Deserialization invokes attacker-chosen callables: AsyncIteratorFactoryInstance calls source.on(listener) without type check
lxsmnsyc / seroval · seroval
Высокий7.3
0,34 %
Патч
26.10.2026
CVE-2026-116581
Seroval: fromJSON deserializer trusts sequence doneAt (unauthenticated event-loop DoS)
lxsmnsyc / seroval · seroval
Высокий7.5
0,45 %
Патч
26.10.2026
CVE-2026-116583
Seroval: Code injection through a typed array's own constructor property
lxsmnsyc / seroval · seroval
Средний5.3
0,27 %
Патч
26.10.2026
CVE-2026-104845
Seroval: Memory exhaustion via unchecked TypedArray length in JSON deserialization
lxsmnsyc / seroval · seroval
Высокий7.5
0,43 %
02.10.2026
CVE-2026-116582: Seroval: Script injection through RegExp sources in serialized output · CVE Радар