Webアプリケーションで利用されるシリアライズライブラリ「seroval」に、HIGH評価の脆弱性3件が確認されました。信頼できないJSONをデシリアライズする構成では、サービス停止やアプリケーション内の関数の意図しない呼び出しにつながる恐れがあります。3件の修正版は1.6.8です。
30秒でわかる / THE SIGNAL
Webアプリケーションで利用されるシリアライズライブラリ「seroval」に、HIGH評価の脆弱性3件が確認されました。信頼できないJSONをデシリアライズする構成では、サービス停止やアプリケーション内の関数の意図しない呼び出しにつながる恐れがあります。3件の修正版は1.6.8です。
小さなJSON入力がサーバーの処理を停止させる恐れ
開発元が2026年10月21日に公開したCVE-2026-116581とCVE-2026-116584は、serovalの`fromJSON`／`fromCrossJSON`が信頼できない入力を復元する際の検証不足に起因します。配列の長さやシーケンスの終了位置に不正な値を指定すると、過剰なメモリ確保や終了しない処理が発生し得ます。両件のCVSS v3.1ベーススコアは7.5（HIGH）です。外部から受け取ったデータを該当関数に渡すサービスでは、認証なしのリクエストがサービス拒否につながる可能性があります。
プラグイン由来の関数が意図せず呼び出される問題
CVE-2026-116580は、非同期イテレーターを復元する処理で内部ストリームかどうかの型検証が不十分だった問題です。アプリケーションのプラグインが関数などの呼び出し可能な値を返す場合、攻撃者が細工した入力によってデシリアライズ中にその値が呼び出される恐れがあります。CVSSは7.3（HIGH）で、具体的な影響はアプリケーションのプラグイン実装に依存します。すべての利用環境で任意コード実行が成立すると断定する根拠はありません。
対応と影響確認のポイント
開発元は3件をseroval 1.6.8で修正しています。利用者は直接依存だけでなく、Webフレームワーク経由で組み込まれたserovalの実際のバージョンと、サーバー側で信頼できないJSONを復元する経路を確認する必要があります。GitHub Security Labは別の関連脆弱性についてTanStack StartとSolidStartのサーバー関数との関係を説明していますが、今回の3件がすべてのフレームワーク構成に影響することを意味しません。