ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
الملخص: لم تتحقق `fromJSON` و `fromCrossJSON` من أن قائمة عناصر عقدة المصفوفة هي مصفوفة. يمكن لـ payload صغير مُعد مسبقًا تعيين الطول الذي استخدمته أداة فك التشفير. يتحكم هذا الطول في مقدار الذاكرة التي يتم تخصيصها وعدد المرات التي تدور فيها أداة فك التشفير، ولا يعتمد على حجم الpayload. التأثير: يمكن جعل الخدمة التي تمرر مدخلات غير موثوقة إلى `fromJSON` أو `fromCrossJSON` غير متوفرة بواسطة طلب دون مصادقة. - يمكن لـ payload صغير تخصيص ذاكرة كافية لإنهاء العملية. - يمكن لـ payload صغير حظر الخيط لثوانٍ، أو بلا نهاية. يؤثر هذا على أي إطار عمل يقوم بفك تشفير هيئات الطلبات باستخدام هذه الدوال قبل تشغيل التحقق الخاص به. تعتبر هذه المشكلة تجاوزًا لإصلاح GHSA-66fc-rw6m-c2q6 في الإصدار 1.4.1. التصحيحات: تم الإصلاح في `[email protected]`. يرفض مزيل التسلسل الآن أي عقدة لا تكون قائمة عناصرها مصفوفة، ويطرح `SerovalMalformedNodeError`. إجراءات التخفيف: لا يوجد. قم بالترقية إلى 1.6.8.
المعالجة
المراجع
- تحذيرhttps://github.com/advisories/GHSA-wp97-x4hv-qvhp
- مرجعhttps://github.com/lxsmnsyc/seroval/security/advisories/GHSA-wp97-x4hv-qvhp
- مرجعhttps://nvd.nist.gov/vuln/detail/CVE-2026-116584
- مرجعhttps://github.com/lxsmnsyc/seroval/commit/cdcee3e3bc384ee844360844f8ea98fd2b275d69
- مرجعhttps://github.com/lxsmnsyc/seroval/releases/tag/[email protected]