CVE-2026-104183 in stream-json
الملخص
بحسب VulDB • 02/10/2026
stream-json هي مكتبة صغيرة (micro-library) تتكون من مكونات تدفقية لمعالجة JSON وJSONC مع استهلاك منخفض للذاكرة. قبل الإصدار 3.6.0، يقوم المجمع (Assembler) بتجسيد خصائص الكائنات باستخدام الإسناد العادي، مما يؤدي إلى استدعاء setter الموروث عند وجود مفتاح إدخال باسم `__proto__`، ويسبب ذلك استبدال نموذج كائن تم تحليله بدلاً من إنشاء خاصية بيانات خاصة به. وبالتالي، يمكن للتطبيقات التي تتخذ قرارات تفويض أو ميزات بناءً على القيم الموروثة أن تستهلك خصائص يتحكم فيها المهاجم، كما قد يعطل النموذج الخالي (null prototype) الأكواد التي تتوقع وجود طرق `Object.prototype`. يعتبر الباحث تحليل JSON غير الموثوق به جزءاً من عقد المشروع، بينما يصرح الحافظ بأن المدخلات المسجلة هي نسخ محلية أو تصديرات أو سجلات، ويصف متجه الهجوم بأنه محلي. لا يتم تلويث الـ Object.prototype العالمي. تم إصلاح هذه المشكلة في الإصدار 3.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.