Seroval : déni de service par nœud de tableau mal validé

Veille sécuritéFrontend

P3Élevée

Les désérialiseurs de Seroval n’exigent pas qu’un nœud de tableau contienne une véritable liste de valeurs ; une entrée spécialement construite peut imposer des allocations mémoire et des itérations disproportionnées par rapport à sa taille. Les versions de 1.4.1 à 1.6.7 sont concernées ; mettre à niveau vers la version 1.6.8, qui corrige ce contournement résiduel d’un correctif antérieur.

IdentifiantCVE-2026-116584

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.6.8

Source : NVD — CVE-2026-116584

Analyse technique

Le défaut touche `fromJSON` et `fromCrossJSON`. Une requête non authentifiée vers un service qui désérialise des entrées non fiables peut épuiser le processus ou bloquer son thread.

Impact, versions et correctif

Événement datéNouvelle fiche CVE publiée le 2026-10-26 ; l’entrée NVD décrit un contournement résiduel et le correctif en 1.6.8.

ImpactLa désérialisation peut provoquer une allocation mémoire excessive, bloquer le thread ou rendre le processus indisponible.

Versions affectéesDe 1.4.1 à 1.6.7.

Version corrigée1.6.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-10-26T21:18:17.053Z

Mise à jour2026-10-26T21:18:17.373Z

Action recommandée

Mettre à niveau Seroval vers la version 1.6.8 ou ultérieure et éviter de désérialiser des données non fiables avec les versions concernées.

Sources

NVD — CVE-2026-116584

Priorisation DFS : P3 · 1 source(s).