node-serialize — CVE-2017-5941

Nota: Questo documento è solo a scopo difensivo ed educativo. Non contiene istruzioni per creare exploit o RCE.

Sommario: node-serialize (0.0.4 e versioni obsolete simili) può rappresentare un rischio a causa di deserializzazione non sicura — verifica sempre i dati in ingresso prima di chiamare unserialize().

Rilevamento: cerca nel codice serialize.unserialize() o node-serialize. Controlla cookie/parametri decodificati in base64 per la presenza di _$$ND_FUNC$$_, function( o eval(.

Mitigazione (rapida):

• Abbandona node-serialize; usa JSON.parse/JSON.stringify.
• Convalida i dati in ingresso con uno schema rigoroso (ajv/joi).
• Rimuovi eval e l'esecuzione dinamica di codice.
• Esegui il processo Node con privilegi minimi e limita l'egress di rete.

Test (innocuo): invia solo benigno base64-JSON (nessuna funzione o comando shell) — testa solo con autorizzazione.

Contatto / Extra: se necessario, posso preparare uno script CI, middleware Express o una sezione di incident-playbook.