CVE-2020-7660

Versões do serialize-javascript anteriores à 3.1.0

A vulnerabilidade está relacionada a erros no gerenciamento da geração de código na função deleteFunctions da biblioteca serialize-javascript. A exploração dessa vulnerabilidade pode permitir que um invasor remoto execute código arbitrário. Um objeto como {foo: /1/, bar: a@ R-<UID>-0 @} foi serializado como {foo: /1/, bar: a/1/}, o que permite que um invasor escape a chave bar. Isso requer que o invasor controle os valores de foo e bar e adivinhe o valor de <UID>. O UID tem um espaço de chaves de aproximadamente 4 bilhões, tornando-se um ataque de rede viável.

Para versões anteriores à 3.1.0, atualize para a versão 3.1.0 ou posterior para resolver o problema. Como solução temporária, considere desativar a função deleteFunctions dentro do index.js até que um patch esteja disponível. Restrinja o acesso ao arquivo index.js para minimizar o risco de exploração. Evite usar a função deleteFunctions na biblioteca afetada até que o problema seja resolvido.