何が起きたか
fromJSON で非同期イテレーターを復元するとき、ソースが seroval のストリームかを確かめずに on() を呼ぶため、プラグインが返す関数などを呼び出させられます。また、配列ノードの長さや sequence ノードの終了位置を検証しないため、小さなペイロードでスレッドを長時間止めたり、終わらないイテレーターを作ったりでき、認証なしでサービスを停止させられます。
やること
1.6.8 へ更新します。すぐ更新できない場合は、信頼できない入力を fromJSON で復元するとき、deserialize が関数や on メソッドを持つオブジェクトを返すプラグインを使わないでください（サービス停止の件には回避策がありません）。
出典
GitHub Advisory Database（GHSA-7rv5-mrxv-xcr9）github.com英語 ↗GitHub Advisory Database（GHSA-97r2-qh9m-474h）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。