ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
الملخص: عندما قامت `fromJSON` إعادة إنشاء مُكرر غير متزامن، قامت باستدعاء `on()` على مصدر المُكرر دون التحقق من أن المصدر كان دفق seroval. يمكن لـ payload مُعد مسبقًا اختيار قيمة أخرى كمصدر، مثل دالة يتم إرجاعها بواسطة ملحق التطبيق. ثم قام مزيل التسلسل باستدعاء طريقة `on` لتلك القيمة. هذا متغير من GHSA-mv8w-475r-vwqw. غطى هذا الإصلاح عقد التحكم في الوعود والدفق ولكن ليس عقدة المكرر غير المتزامن. التأثير: يمكن أن يتعرض التطبيق الذي يمرر مدخلات غير موثوقة إلى `fromJSON` مع الملحقات التي تُرجع قيمًا قابلة للاستدعاء لاستدعاء تلك الدوال أثناء إلغاء التسلسل. ما يتيحه ذلك يعتمد على ما تفعله قيم الملحق. الإصدارات المتأثرة: - الإصدارات حتى 1.6.3 تقبل أي قيمة كمصدر. - يرفض 1.6.4 الpayload المُبلغ عنه. - تتحقق الإصدارات من 1.6.5 إلى 1.6.7 من المصدر حسب نوع العقدة، والذي يمكن لـ payload تجاوزه عن طريق إعادة استخدام معرف العقدة. - يجب اعتبار جميع الإصدارات حتى 1.6.7 متأثرة. التصحيحات: تم الإصلاح في `[email protected]`. أصبحت التدفقات والتسلسلات الآن مثيلات لفئة داخلية. يتحقق مزيل التسلسل من قيمة المصدر باستخدام `instanceof`، لذلك يتم رفض البيانات البسيطة وقيم الملحقات بغض النظر عن معرف العقدة الذي تستخدمه. إجراءات التخفيف: تجنب الملحقات التي تُرجع وظائف أو كائنات ذات طريقة `on` عند فك تشفير إدخال غير موثوق به. يوصى بالترقية إلى 1.6.8.
المعالجة
المراجع
- تحذيرhttps://github.com/advisories/GHSA-7rv5-mrxv-xcr9
- مرجعhttps://github.com/lxsmnsyc/seroval/security/advisories/GHSA-7rv5-mrxv-xcr9
- مرجعhttps://nvd.nist.gov/vuln/detail/CVE-2026-116580
- مرجعhttps://github.com/lxsmnsyc/seroval/commit/3edc78b495ea0d6bd498143e5b3e56996607c5f2
- مرجعhttps://github.com/lxsmnsyc/seroval/commit/50926b3ee198fb757e6ce3aa70efeed38d931c8d
- مرجعhttps://github.com/lxsmnsyc/seroval/releases/tag/[email protected]