CVE-2026-104846 [重大] Seroval: `fromJSON()`関数におけるPromise thenableの処理において、プラグインによって生成された呼び出し可能なオブジェクトが実行される（GHSA-mv8w-475rの回避）。

公開日 2026-10-06 GitHub Advisory（critical）深刻度 CRITICAL

この記事は英語の原文を AI で機械翻訳したものです。製品名・バージョン・CVE 番号や、肯定・否定が正しく訳されていない場合があります。必ず元記事をご確認ください。ご利用上の注意

Seroval: `fromJSON()`メソッドによるPromiseオブジェクトの処理において、プラグインによって生成された関数が意図せず呼び出される問題（GHSA-mv8w-475r-vwqwの回避）。

`fromJSON()`メソッドによってデシリアライズされたPromiseオブジェクトは、ネイティブなECMAScriptのPromiseオブジェクトの処理機構によって、プラグインによって生成された関数が意図せず呼び出される可能性があります。これにより、`seroval@1.5.3`における型混同の脆弱性に対する修正（GHSA-mv8w-475r-vwqw / CVE-2026-59940）を回避し、`0.12.0`から現在の`1.6.0`までのすべてのプラグインに対応したバージョンに影響を与えます。

影響を受けるパッケージ：
- npm (JavaScript) seroval: 影響を受けるバージョンは0.12.0以上、1.6.0以下。修正は1.6.2で実施済み。