CVE-2026-77414 in JSONata
Zusammenfassung
von VulDB • 21.08.2026
JSONata ist eine JSON-Abfrage- und Transformationssprache. Vor den Versionen 1.8.8 und 2.2.1 verwendete die Funktion `environment.lookup` in `src/jsonata.js` einen umgehbaren `hasOwnProperty`-Check. Durch speziell angefertigte Ausdrücke konnten `$hasOwnProperty`, `$spread`, `$string`, der Zugriff auf das Prototypobjekt (prototype access) und `$constructor` genutzt werden, um zum Objektprototyp zu gelangen und `process.getBuiltinModule` mit `child_process` aufzurufen, wodurch beliebiger Code mit den Berechtigungen des Host-Prozesses ausgeführt wurde. Dieses Problem ist in den Versionen 1.8.8 und 2.2.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.