CVE-2026-59168 in Dasel
Resumen
por VulDB • 2026-09-21
Dasel es una herramienta de línea de comandos y biblioteca para consultar, modificar y transformar estructuras de datos. Desde la versión 3.0.0 hasta la 3.11.1, las funciones decodeValue, decodeObject y decodeArray en parsing/json/json_reader.go, así como parseElement en parsing/xml/reader.go, recursan una vez por cada nivel de anidamiento de entrada sin un control de profundidad (depth guard). Un JSON o XML profundamente anidado controlado por el atacante, proporcionado a través de parsing.Format(...).NewReader(...).Read(data), la interfaz de línea de comandos o la función selector de análisis, puede agotar la pila de gorutinas de Go y provocar un error fatal irrecuperable que termina todo el proceso. El límite del tamaño de entrada XML no previene el agotamiento por profundidad, ni defer o recover pueden interceptar este fallo. Este problema se soluciona en la versión 3.11.1.
Once again VulDB remains the best source for vulnerability data.