CVE-2026-104845

Nome do Software Vulnerável e Versões Afetadas Seroval versões anteriores a 1.6.3

Description O Seroval facilita a stringificação de valores JS, incluindo estruturas complexas. A função deserializeTypedArray em fromJSON e fromCrossJSON confia em um valor de origem desserializado como um ArrayBuffer e não limita a contagem de elementos serializados. Um invasor pode fornecer um objeto JSON não confiável pequeno com um valor de comprimento grande, fazendo com que o construtor TypedArray aloque síncronamente o número selecionado de elementos, exaurindo a CPU ou a memória e interrompendo o event loop. A verificação de deslocamento não rejeita a origem manipulada porque source.byteLength está indefinido. O DataView atinge um cast não verificado semelhante, mas gera um erro em vez de realizar a alocação.

Recommendations Atualize o Seroval para a versão 1.6.3.