Seroval: مزيل التسلسل fromJSON يثق في طول المصفوفة الموفرة من العقدة وتسلسل doneAt (حجب خدمة حلقة الأحداث دون مصادقة)

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

الملخص: استخدمت `fromJSON` و `fromCrossJSON` حقلين للعملاء دون التحقق منهما. - لم يتم التحقق مما إذا كانت قائمة عناصر عقدة المصفوفة عبارة عن مصفوفة. يمكن لـ payload صغير تعيين الطول الذي تدور حوله حلقة أداة فك التشفير. يتم تعقب هذا الجزء أيضًا في GHSA-wp97-x4hv-qvhp. - لم يتم التحقق من فهرس الانتهاء لعقدة التسلسل. تنتج القيمة المُعدة مُكررًا لا ينتهي أبدًا. التأثير: يمكن جعل الخدمة التي تمرر مدخلات غير موثوقة إلى `fromJSON` أو `fromCrossJSON` غير متوفرة بواسطة طلب دون مصادقة. - تحظر حالة المصفوفة الخيط أثناء تشغيل أداة فك التشفير. - تجعل حالة التسلسل أي شيفرة تقرأ المكرر الناتج حتى النهاية تعمل إلى الأبد. التصحيحات: تم الإصلاح في `[email protected]`. - يجب أن تكون قوائم العناصر مصفوفات. - يجب أن تكون فهارس طرح وانتهاء عقدة التسلسل أعدادًا صحيحة من -1 حتى فهرس العنصر الأخير. يؤدي الإدخال غير الصالح إلى طرح `SerovalMalformedNodeError`. إجراءات التخفيف: لا يوجد. قم بالترقية إلى 1.6.8.

المعالجة

1. أحصِ جميع نشرات seroval، بما فيها بيئات الاختبار.
2. رقِّ seroval إلى الإصدار 1.6.8.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/advisories/GHSA-97r2-qh9m-474h
• مرجعhttps://github.com/lxsmnsyc/seroval/security/advisories/GHSA-97r2-qh9m-474h
• مرجعhttps://nvd.nist.gov/vuln/detail/CVE-2026-116581
• مرجعhttps://github.com/lxsmnsyc/seroval/commit/cdcee3e3bc384ee844360844f8ea98fd2b275d69
• مرجعhttps://github.com/lxsmnsyc/seroval/commit/e176f9267e59ddd6c9de89cc9fe85c5b37a5b728
• مرجعhttps://github.com/lxsmnsyc/seroval/releases/tag/[email protected]