CVE-2026-59168 in Dasel
Zusammenfassung
von VulDB • 21.09.2026
Dasel ist ein Befehlszeilen-Tool und eine Bibliothek zum Abfragen, Ändern und Transformieren von Datenstrukturen. Von Version 3.0.0 bis 3.11.1 führen die Funktionen `decodeValue`, `decodeObject` und `decodeArray` in `parsing/json/json_reader.go` sowie `parseElement` in `parsing/xml/reader.go` eine Rekursion durch, bei der pro Verschachtelungsstufe des Eingabedatenstroms ein Stackframe alloziert wird, jedoch ohne Tiefenschutz (depth guard). Durch tief verschachtelte, vom Angreifer kontrollierte JSON- oder XML-Daten, die über `parsing.Format(...).NewReader(...).Read(data)`, die Befehlszeilenschnittstelle oder die Parse-Auswahlfunktion bereitgestellt werden, kann der Go-Goroutine-Stack erschöpft und ein nicht wiederherstellbarer schwerwiegender Fehler (fatal error) ausgelöst werden, der den gesamten Prozess beendet. Das XML-Eingabegrößenlimit verhindert keine Stack-Erschöpfung durch tiefe Verschachtelung, und `defer` oder `recover` können diesen Ausfall nicht abfangen. Dieses Problem wurde in Version 3.11.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.