Veille sécuritéFrontend
P4Faible
Dans serialize-javascript avant 7.1.3, une fonction sérialisée dont le texte source est contrôlé peut contourner l’échappement et fermer prématurément un élément script dans certaines sorties HTML. Mettre à niveau vers 7.1.3 ou une version ultérieure, en particulier si des données sérialisées sont intégrées dans une page.
JavaScript
IdentifiantCVE-2026-115897
GravitéFaible
Exploitationnon connue / non déterminée
Correctif7.1.3
Analyse technique
Le scénario décrit suppose que l’attaquant puisse influencer le texte source d’une fonction sérialisée, par exemple via un toString() usurpé, et que la sortie soit rendue dans un bloc script HTML.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-23 à 22:16:59Z, soit le 2026-10-24 à 00:16:59 +02:00, dans la période retenue.
ImpactInjection de contenu actif dans le navigateur (XSS) lorsque les conditions de rendu décrites sont réunies.
Versions affectées< 7.1.3
Version corrigée7.1.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
EPSS0,39% · percentile 32,5%
Publication2026-10-24T00:16:59+02:00
Mise à jour2026-10-24T00:09:53+02:00
Action recommandée
Mettre à niveau serialize-javascript vers 7.1.3 ou ultérieur; éviter d’insérer dans du HTML des données sérialisées provenant de sources non fiables.
Sources
Priorisation DFS : P4 · 2 source(s).