Seroval: Codeausführung über Promise-Thenable-Assimilation in fromJSON()

Zusammenfassung

Das npm-Paket seroval (Versionen 0.12.0 bis 1.6.2) kann von Plugins erzeugte aufrufbare Funktionen ausführen, wenn fromJSON() einen erfüllten Promise-Knoten deserialisiert. Die native Promise-Verarbeitung ruft die Funktion als Thenable auf, sodass angreifergesteuertes JSON in Anwendungen mit Plugin-fähigen Seroval-Versionen Code auslösen kann. Die Schwachstelle umgeht die frühere Korrektur für CVE-2026-59940 in Version 1.5.3. Das Risiko hängt davon ab, ob unvertrauenswürdige Eingaben auf einem Server den Deserialisierer erreichen, etwa über die serverseitige Zustandsserialisierung von SolidJS oder TanStack Start.

Betroffen

• seroval >= 0.12.0 und < 1.6.2 (CVE-Eintrag und OSV)
• Das GitHub-Advisory nennt <= 1.6.0; VulDB nennt bis 1.6.1
• Häufig als transitive Abhängigkeit in SolidJS- und TanStack-Router/Start-Umgebungen
• Auch seroval-plugins und verschachtelte Kopien in Lockfiles prüfen

Behoben in

• Behoben in seroval 1.6.2 (Fix-Commit f1ffcc9)
• Drittquellen deuten darauf hin, dass spätere 1.6.x-Versionen weitere Advisories beheben; neueste 1.6.x-Version verwenden und in der GitHub-Advisory-Datenbank prüfen

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers veröffentlicht; ein Update ist die einzige genannte Massnahme. Bis zum Patch sicherstellen, dass unvertrauenswürdiges JSON nie die Funktion fromJSON() von Seroval erreicht.

Ausnutzung

• CVSS 9.8 (CVSS 3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H); netzwerkbasiert, ohne Authentisierung und ohne Benutzerinteraktion
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Im CISA-KEV-Katalog laut Recherche nicht gefunden; direkt prüfen
• Kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• seroval in allen Lockfiles inventarisieren, einschliesslich verschachtelter Abhängigkeiten von solid-js, @tanstack/* und seroval-plugins
• Mindestens auf 1.6.2 aktualisieren, vorzugsweise auf die neueste 1.6.x-Version
• Wo ein direktes Update blockiert ist, ein Paketmanager-Override verwenden und neu testen
• Prüfen, ob unvertrauenswürdige Clientdaten auf Servern den Deserialisierer erreichen; öffentlich erreichbare Anwendungen zuerst behandeln
• Anwendungslogs bis zum Patch auf ungewöhnliche Deserialisierungsfehler überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Seroval fix commit f1ffcc9 github.com
• GitHub Security Advisory GHSA-p6vx-979v-rg4c github.com
• OSV: CVE-2026-104846 osv.dev
• GitLab Advisory: CVE-2026-104846 advisories.gitlab.com
• VulDB: CVE-2026-104846 vuldb.com
• GitHub Advisory Database: GHSA-p6vx-979v-rg4c github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:25.