CVE-2026-104846

Nome do Software Vulnerável e Versões Afetadas Seroval versões 0.12.0 até 1.6.1

Descrição O Seroval permite a stringificação de valores JavaScript, incluindo estruturas complexas. Uma falha no processo de desserialização fromJSON() permite que um nó de controle de Promise resolvida passe um thenable (um objeto com um método then) produzido por um plugin para um resolvedor de Promise nativo. Isso leva à invocação inesperada do callable durante a assimilação de thenables do ECMAScript, permitindo que um JSON controlado por um invasor execute código em aplicações que utilizam versões do Seroval com suporte a plugins. Este comportamento ignora remediações anteriores de confusão de tipo, pois a invocação ocorre durante a liquidação nativa da Promise após a desserialização.

Recomendações Atualizar para a versão 1.6.2.