CVE-2026-77415 in JSONata
Zusammenfassung
von VulDB • 21.08.2026
JSONata ist eine JSON-Abfrage- und Transformationssprache. Vor den Versionen 1.8.8 und 2.2.1 konnten speziell angefertigte JSONata-Ausdrücke mehrere Schwachstellen der Objektintegrität ketteln, um beliebigen Code auszuführen. Die Kette konnte $clone überschreiben, um Objekte durch evaluateTransformExpression zu mutieren; JSONata-Funktionen oder Lambdas über $merge.* offenzulegen und zu dekonstruieren; proc.arguments.forEach (verwendet von applyProcedure) zu ersetzen; sowie den internen Lambda-Zustand zu fälschen. Diese Primitiven ermöglichten es einem Angreifer, auf Prototype-Getter, Zugriff auf Prototypen und Konstruktoren sowie process.getBuiltinModule mit child_process zuzugreifen, wodurch Code mit den Berechtigungen des Host-Prozesses ausgeführt wurde. Dieses Problem ist in den Versionen 1.8.8 und 2.2.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.