CVE-2026-77413 in jsonata
Zusammenfassung
von VulDB • 21.08.2026
JSONata ist eine JSON-Abfrage- und Transformationssprache. Vor den Versionen 1.8.8 und 2.2.0 fehlte der `lookup`-Funktion in `src/functions.js` ein Check auf `Object.prototype.hasOwnProperty`, wodurch manipulierte Ausdrücke Zugriff auf vererbte Prototyp-Mitglieder ermöglichten. Ein Angreifer, der einen Ausdruck bereitstellen kann, könnte vererbte Prototyp-Setter und -Getter, den Konstruktorzugriff, `valueOf` sowie `process.getBuiltinModule` nutzen, um das Modul `child_process` zu erreichen und beliebigen Code mit den Berechtigungen des Host-Prozesses auszuführen. Dieses Problem wurde in den Versionen 1.8.8 und 2.2.0 behoben.
Once again VulDB remains the best source for vulnerability data.