Seroval : XSS possible lors de l’intégration de RegExp sérialisées dans HTML

Veille sécuritéFrontend

P4Moyenne

Les API de sortie JavaScript de Seroval n’échappent pas correctement le caractère inférieur à dans certaines sources de RegExp sérialisées, ce qui peut permettre de sortir d’un élément HTML `script` et d’exécuter du script dans la page d’un autre utilisateur. Le scénario exige notamment une RegExp construite à partir d’une entrée non fiable puis intégrée dans un élément `script` ; les versions antérieures à 1.0.0 et de 1.5.5 à 1.6.9 sont concernées, et le correctif est disponible en 1.6.10.

IdentifiantCVE-2026-116582

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.6.10

Source : NVD — CVE-2026-116582

Analyse technique

Le problème concerne notamment `serialize`, `serializeAsync`, `crossSerialize`, `crossSerializeAsync`, `crossSerializeStream`, `Serializer` et `compileJSON`, lorsque leur résultat est intégré dans un élément HTML `script`.

Impact, versions et correctif

Événement datéNouvelle fiche CVE publiée le 2026-10-26 ; l’entrée NVD précise les plages affectées et le correctif 1.6.10.

ImpactDans le scénario décrit, le contenu HTML reçu par un autre utilisateur peut exécuter du script.

Versions affectéesAntérieures à 1.0.0 et de 1.5.5 à 1.6.9.

Version corrigée1.6.10

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.7

Publication2026-10-26T21:18:16.267Z

Mise à jour2026-10-26T21:18:16.613Z

Action recommandée

Mettre à niveau Seroval vers la version 1.6.10 ou ultérieure ; éviter d’intégrer dans un élément `script` des sorties sérialisées dérivées d’entrées non fiables.

Sources

NVD — CVE-2026-116582

Priorisation DFS : P4 · 1 source(s).