Seroval : validation insuffisante de valeurs lors de la désérialisation

Veille sécuritéFrontend

P3Élevée

Seroval présente une validation incomplète lors de la désérialisation de données non fiables : avec un plugin applicatif exposant une valeur appelable ou une méthode `on`, une entrée construite peut déclencher cette valeur et compromettre la confidentialité, l’intégrité ou la disponibilité selon le plugin. Les versions antérieures à 1.6.8 sont concernées ; mettre à niveau vers Seroval 1.6.8 ou ultérieur.

IdentifiantCVE-2026-116580

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.6.8

Source : NVD — CVE-2026-116580

Analyse technique

`fromJSON` peut reconstruire un AsyncIteratorFactoryInstance en appelant `source.on(listener)` sans vérifier que la source est un flux interne légitime. Cette variante est décrite comme un correctif incomplet de CVE-2026-59940 ; l’impact dépend du comportement fourni par le plugin applicatif.

Impact, versions et correctif

Événement datéNouvelle fiche CVE publiée le 2026-10-26 ; l’entrée NVD décrit une vulnérabilité et un correctif, et non une simple modification administrative.

ImpactUne entrée construite peut invoquer une valeur issue d’un plugin applicatif ; les effets possibles sur la confidentialité, l’intégrité ou la disponibilité dépendent de ce plugin.

Versions affectéesVersions antérieures à 1.6.8.

Version corrigée1.6.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.3

Publication2026-10-26T21:18:15.523Z

Mise à jour2026-10-26T21:18:15.870Z

Action recommandée

Mettre à niveau Seroval vers la version 1.6.8 ou ultérieure et éviter de désérialiser des entrées non fiables sans contrôle.

Sources

NVD — CVE-2026-116580

Priorisation DFS : P3 · 1 source(s).