CVE-2026-115754
Beschrijving NL
Serialize-javascript bevat vanaf versie 7.0.1 tot en met 7.1.3 een cross-site scripting-kwetsbaarheid waarmee aanvallers HTML-scriptelementen kunnen omzeilen door de brontekst van geserialiseerde functies te eindigen met een niet-geëscapt </script. Aanvallers die de broncode van een functie manipuleren via een vervalste toString()-aanroep, kunnen omringende uitvoerscheidingstekens en latere waarden combineren om live markup te injecteren, zoals img onerror-handlers.
Origineel (Engels) tonen
serialize-javascript from 7.0.1 before 7.1.3 contains a cross-site scripting vulnerability that allows attackers to break out of HTML script elements by ending serialized function source text with an unescaped </script. Attackers controlling a function's source via a spoofed toString() can combine surrounding output delimiters and later values to inject live markup such as img onerror handlers.