Crítica

Deserialization Code Execution in js-yaml

Publicada: 24.10.2017
Actualizado: 11.10.2026 10:22

Versions 2.0.4 and earlier of js-yaml are affected by a code execution vulnerability in the YAML deserializer.

Proof of Concept

const yaml = require('js-yaml');

const x = `test: !!js/function >
function f() { 
console.log(1); 
}();`

yaml.load(x);

Recommendation

Update js-yaml to version 2.0.5 or later, and ensure that all instances where the .load() method is called are updated to use .safeLoad() instead.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	js-yaml	< 2.0.5	2.0.5

Referencias

Puntuación CVSS -

Debilidad (CWE): CWE-20
Plataforma: npm
Paquete: js-yaml
Publicada: 24.10.2017
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-xxvw-45rp-3mj2 - CC BY 4.0

Historial de vulnerabilidades: js-yaml

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (12) en el archivo

Entradas en total: 12
Primera → última: 10.2017 09.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 5
Media 6

Divulgaciones por año

2017: 1
2018: 0
2019: 2
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 1
2026: 8

08.09.2026

js-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources

Alta · 7.5 CVE-2026-84375 >= 4.0.0, < 4.3.2, >= 3.0.0, < 3.15.2 4.3.2, 3.15.2
06.08.2026

JS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported

Alta · 7.5 ghsa-5p4m-2wfm-xmqj >= 4.0.0, < 4.3.1, >= 3.0.0, < 3.15.1 4.3.1, 3.15.1
24.07.2026

js-yaml: Exponential parsing time in flow collections leads to denial of service

Alta · 7.5 CVE-2026-73643 >= 5.0.0, < 5.2.2 5.2.2
20.07.2026

js-yaml: YAML merge-key chains can force quadratic CPU consumption

Alta · 7.5 CVE-2026-59869 >= 3.0.0, < 3.15.0, >= 4.0.0, < 4.3.0 3.15.0, 4.3.0
04.06.2019

Code Injection in js-yaml

Alta ghsa-8j8c-7jfh-h6hx < 3.13.1 3.13.1
24.10.2017

Deserialization Code Execution in js-yaml esta entrada

Crítica CVE-2013-4660 < 2.0.5 2.0.5

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación