PT-2026-3889 · Seroval · Seroval

Lxsmnsyc + 1 · Publicado 2026-01-21 · Atualizado 2026-05-20 · CVE-2026-23956

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas seroval versões 1.4.0 e anteriores

Descrição O seroval é uma biblioteca JavaScript que facilita a stringificação de valores, incluindo estruturas complexas. Nas versões 1.4.0 e anteriores, substituir a serialização de RegExp com padrões excessivamente grandes pode esgotar a memória do tempo de execução do JavaScript durante a desserialização. Substituir a serialização de RegExp com padrões que disparam backtracking catastrófico pode levar ao ReDoS (Negação de Serviço por Expressão Regular). Backtracking catastrófico é uma condição em que o mecanismo de expressão regular leva um tempo extremamente longo para concluir sua busca devido à estrutura do padrão.

Recomendações Configure disabledFeatures para desabilitar a serialização de RegExp completamente.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2026-23956

GHSA-HX9M-JF43-8FFR

Produtos afetados

Seroval

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/23xxx/CVE-2026-23956.json · Exploit
• https://github.com/lxsmnsyc/seroval/blob/v0.2.0/packages/seroval/src/index.ts#L90 · Nota
• https://github.com/lxsmnsyc/seroval/security/advisories/GHSA-hx9m-jf43-8ffr · Aviso do Fabricante
• https://github.com/lxsmnsyc/seroval/commit/ce9408ebc87312fcad345a73c172212f2a798060 · Correção
• https://github.com/lxsmnsyc/seroval · Nota
• https://twitter.com/lsof/status/2014398967795040762 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2014263977740488801 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-23956 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-23956 · Aviso do Fabricante
• https://t.me/CVEtracker/42727 · Publicação no Telegram
• https://t.me/cveNotify/153578 · Publicação no Telegram
• https://t.me/cveNotify/164144 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2014153667927241031 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-hx9m-jf43-8ffr · Aviso do Fabricante
• https://twitter.com/cracbot/status/2016103970402664749 · Publicação no Twitter