Seroval : injection de JavaScript dans la sérialisation de tableaux typés

Veille sécuritéFrontend

P4Moyenne

Dans Seroval, les API qui produisent du JavaScript peuvent incorporer comme code exécutable le nom de constructeur contrôlé d’un tableau typé, si l’application copie des propriétés non fiables sur ce tableau avant sérialisation. Une exploitation peut entraîner l’exécution de JavaScript dans la page qui reçoit le résultat ; mettre à niveau vers la version 1.6.11 ou ultérieure et éviter de sérialiser de cette façon des tableaux typés ainsi modifiés.

IdentifiantCVE-2026-116583

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.6.11

Source : NVD — CVE-2026-116583

Analyse technique

Les API JavaScript concernées comprennent serialize, serializeAsync, crossSerialize, crossSerializeAsync, crossSerializeStream, Serializer et compileJSON. La valeur du constructeur est dérivée d’une propriété modifiable du tableau typé et peut être écrite dans la sortie comme JavaScript exécutable.

Impact, versions et correctif

Événement datéNouvelle fiche publiée dans la période : 2026-10-26T21:18:16.653Z (UTC), soit le 2026-10-26 à 23:18:16.653 +02:00. La mise à jour NVD du 2026-10-27 est postérieure à la borne de fin et n’est pas retenue.

ImpactExécution de JavaScript dans la page qui reçoit la sortie sérialisée.

Versions affectéesSeroval de 1.6.0 à 1.6.10

Version corrigée1.6.11

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

Publication2026-10-26T21:18:16.653Z

Action recommandée

Mettre à niveau Seroval vers 1.6.11 ou ultérieure. Ne pas transmettre aux API concernées des tableaux typés portant des propriétés copiées depuis une source non fiable.

Sources

NVD — CVE-2026-116583

Priorisation DFS : P4 · 1 source(s).