Kritisch

Deserialization Code Execution in js-yaml

Veröffentlicht: 24.10.2017
Aktualisiert: 11.10.2026 10:22

Versions 2.0.4 and earlier of js-yaml are affected by a code execution vulnerability in the YAML deserializer.

Proof of Concept

const yaml = require('js-yaml');

const x = `test: !!js/function >
function f() { 
console.log(1); 
}();`

yaml.load(x);

Recommendation

Update js-yaml to version 2.0.5 or later, and ensure that all instances where the .load() method is called are updated to use .safeLoad() instead.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	js-yaml	< 2.0.5	2.0.5

Verweise

CVSS-Wert -

Schwäche (CWE): CWE-20
Plattform: npm
Paket: js-yaml
Veröffentlicht: 24.10.2017
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-xxvw-45rp-3mj2 - CC BY 4.0

Schwachstellenhistorie: js-yaml

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (12) im Archiv

Einträge insgesamt: 12
Erste → letzte: 10.2017 09.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Hoch 5
Mittel 6

Veröffentlichungen pro Jahr

2017: 1
2018: 0
2019: 2
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 1
2026: 8

08.09.2026

js-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources

Hoch · 7.5 CVE-2026-84375 >= 4.0.0, < 4.3.2, >= 3.0.0, < 3.15.2 4.3.2, 3.15.2
06.08.2026

JS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported

Hoch · 7.5 ghsa-5p4m-2wfm-xmqj >= 4.0.0, < 4.3.1, >= 3.0.0, < 3.15.1 4.3.1, 3.15.1
24.07.2026

js-yaml: Exponential parsing time in flow collections leads to denial of service

Hoch · 7.5 CVE-2026-73643 >= 5.0.0, < 5.2.2 5.2.2
20.07.2026

js-yaml: YAML merge-key chains can force quadratic CPU consumption

Hoch · 7.5 CVE-2026-59869 >= 3.0.0, < 3.15.0, >= 4.0.0, < 4.3.0 3.15.0, 4.3.0
04.06.2019

Code Injection in js-yaml

Hoch ghsa-8j8c-7jfh-h6hx < 3.13.1 3.13.1
24.10.2017

Deserialization Code Execution in js-yaml dieser Eintrag

Kritisch CVE-2013-4660 < 2.0.5 2.0.5

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden