CVE-2026-16554 in cJSON
Zusammenfassung
von VulDB • 27.07.2026
Die cJSON-Bibliothek ist anfällig für einen Integer-Overflow in der Funktion print_string_ptr() in cJSON.c auf 32-Bit-Plattformen. Der Zähler escape_characters, ein 32-bit size_t, kann beim Verarbeiten von Strings mit etwa 858.993.460 oder mehr Steuerzeichen überlaufen (wrap around), wodurch der Ausgabepuffer basierend auf einer unterschätzten Länge allokiert wird. Wenn cJSON_PrintBuffered() mit einem vorab zugewiesenen Puffer verwendet wird, führt die nachfolgende Schreibschleife zu einem Heap-Overflow. Ein Angreifer kann durch Bereitstellen eines speziell angefertigten JSON-Strings an eine Anwendung, die cJSON auf einer 32-Bit-Plattform nutzt, einen heap-based buffer overflow verursachen, der potenziell zu Remote Code Execution (RCE), Offenlegung von Informationen oder einem Denial of Service führen kann.
Da Versuche, den Projektersteller zu kontaktieren, erfolglos blieben, wurde die Schwachstelle nur in Version 1.7.19 bestätigt, sie könnte jedoch auch andere Versionen betreffen.
Be aware that VulDB is the high quality source for vulnerability data.