🇰🇷 한글 설명
Seroval은 JSON.stringify의 기능을 넘어서는 복잡한 구조를 포함한 JavaScript 값의 직렬화를 지원합니다. 1.4.1부터 1.6.8 이전 버전까지 fromJSON 및 fromCrossJSON은 배열 노드의 요소 목록이 실제 배열인지 검증하지 않습니다. 이로 인해 조작된 작은 페이로드로 메모리 할당과 디코더 반복 횟수를 공격자가 제어할 수 있으며, 인증되지 않은 요청으로 프로세스를 고갈시키거나 스레드를 차단할 수 있습니다. 이는 CVE-2026-23957 수정의 잔여 우회 취약점입니다.
💡 쉬운 설명
악의적으로 조작된 작은 데이터를 보내면 서버가 과도한 메모리와 연산을 사용하게 되어 서비스가 멈출 수 있습니다. 로그인 없이도 공격이 가능합니다.
🇺🇸 원문 (English)
Seroval facilitates JavaScript value stringification, including complex structures beyond JSON.stringify capabilities. From 1.4.1 until 1.6.8, fromJSON and fromCrossJSON do not require an array node's element list to be an actual array. A small crafted payload can supply an attacker-controlled length that determines memory allocation and decoder iterations independently of payload size, allowing an unauthenticated request to exhaust the process or block its thread. This issue is a residual bypass of the remediation for CVE-2026-23957. This issue is fixed in version 1.6.8.
📍 영향받는 시스템
Seroval 1.4.1 이상 1.6.8 미만 버전을 사용하는 Node.js 애플리케이션
⚔️ 공격 벡터
인증 없이 조작된 직렬화 페이로드를 전송하여 배열 길이를 악용, 메모리 및 CPU 자원을 고갈시킴(DoS)
🛡️ 대응 방법
Seroval을 1.6.8 이상 버전으로 업데이트
🔧 검증 코드
출력된 seroval 버전이 1.6.8 미만이면 취약하며, 1.6.8 이상이면 패치가 적용된 것입니다.
npm ls seroval 2>/dev/null | grep seroval