Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-115897 Cross-site scripting (XSS) en Serialize JavaScript por /script sin escapar al final del cuerpo de una…

Antes de 7.1.3, la lógica de escape del código fuente de funciones no neutraliza un prefijo de cierre de script cuando el texto de la función controlado por el atacante termina exactamente en ese prefijo. Como cada cuerpo de función se escapa de forma independiente, un delimitador del resto de la salida serializada puede cerrar un elemento script HTML e inyectar marcado que se vuelve un elemento activo en la página. Requiere control del texto fuente de una función serializada, por ejemplo mediante un toString()…

Alerta de Nureq Monitor

Detectada 23 OCT · 21:08

CVSS 4.0

2.1BAJA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,4 % PERCENTIL 33

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-115897

Antes de 7.1.3, la lógica de escape del código fuente de funciones no neutraliza un prefijo de cierre de script cuando el texto de la función controlado por el atacante termina exactamente en ese prefijo. Como cada cuerpo de función se escapa de forma independiente, un delimitador del resto de la salida serializada puede cerrar un elemento script HTML e inyectar marcado que se vuelve un elemento activo en la página. Requiere control del texto fuente de una función serializada, por ejemplo mediante un toString()…

Productos y versiones afectadas

  • yahoo serialize-javascript

    • < 7.1.3

Qué hacer

  1. Verificá si usás serialize-javascript y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 2.1 BAJA

CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Alta
REQUISITOS DEL ATAQUE (AT)
Presentes
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Pasiva
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Baja
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Baja
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Baja
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Baja
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna

Abrir la calculadora completa

Descripción original

Serialize JavaScript serializes JavaScript values to a superset of JSON that includes regular expressions and functions. Prior to 7.1.3, the function-source escaping logic does not neutralize a bare closing-script prefix when attacker-influenced function source text ends exactly at that prefix. Because each function body is escaped independently, a delimiter supplied by surrounding serialized output can terminate an HTML script element, and a later serialized value supplies injected markup that becomes a live element in the page. Exploitation requires control of a serialized function's source text, such as through a spoofed toString(). This issue is fixed in version 7.1.3.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.