Към съдържанието
Търсене

CVE-2026-1615: jsonpath, инжекция

9.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Versions of the package jsonpath before 1.3.0 are vulnerable to Arbitrary Code Injection via unsafe evaluation of user-supplied JSON Path expressions. The library relies on the static-eval module to process JSON Path input, which is not designed to handle untrusted data safely. An attacker can exploit this vulnerability by supplying a malicious JSON Path expression that, when evaluated, executes arbitrary JavaScript code, leading to Remote Code Execution in Node.js environments or Cross-site Scripting (XSS) in browser contexts. This affects all methods that evaluate JSON Paths against objects, including .query, .nodes, .paths, .value, .parent, and .apply.

Засегнати продукти

  • n/a jsonpath: преди 1.3.0
  • n/a org.webjars.npm:jsonpath: всички версии
  • Red Hat: още 11 продукта, добавени от Red Hat

    Red Hat Ansible Automation Platform 2.5, Red Hat Ansible Automation Platform 2.6, Red Hat Developer Hub 1.9, Migration Toolkit for Virtualization, OpenShift Pipelines, Red Hat Ansible Automation Platform 2, Red Hat Enterprise Linux AI (RHEL AI) 3, Red Hat Fuse 7, Red Hat OpenShift AI (RHOAI), Red Hat Quay 3, Self-service automation portal 2

Вид слабост

История

  • 9 февруари 2026 Публикувано

Други уязвимости в n/a jsonpath

Първоизточници

CVE-2026-1615: jsonpath, инжекция | freedomonline.bg