Seroval : déni de service par index `done` non validé

Veille sécuritéFrontend

P3Élevée

Seroval ne valide pas correctement l’index `done` d’un nœud de séquence dans ses fonctions de désérialisation, ce qui permet de construire un itérateur qui ne termine pas. Si un service consomme jusqu’au bout une entrée non fiable ainsi désérialisée, une requête non authentifiée peut bloquer la boucle d’événements, épuiser la mémoire ou rendre le service indisponible ; mettre à niveau vers la version 1.6.8.

IdentifiantCVE-2026-116581

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.6.8

Source : NVD — CVE-2026-116581

Analyse technique

Le problème concerne `fromJSON` et `fromCrossJSON`, qui n’effectuent pas la validation de l’index `done` du nœud de séquence.

Impact, versions et correctif

Événement datéNouvelle fiche CVE publiée le 2026-10-26 ; l’entrée NVD décrit une vulnérabilité et un correctif, et non une simple modification administrative.

ImpactUn service exposé qui désérialise une entrée non fiable peut subir un blocage de boucle d’événements, une consommation excessive de mémoire ou une indisponibilité.

Versions affectéesVersions antérieures à 1.6.8.

Version corrigée1.6.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Publication2026-10-26T21:18:15.903Z

Mise à jour2026-10-26T21:18:16.233Z

Action recommandée

Mettre à niveau Seroval vers la version 1.6.8 ou ultérieure et ne pas traiter d’entrées non fiables avec les fonctions de désérialisation vulnérables.

Sources

NVD — CVE-2026-116581

Priorisation DFS : P3 · 1 source(s).