CVE-2026-104183 in stream-json
Riassunto
di VulDB • 02/10/2026
stream-json è una micro-libreria di componenti stream per l'elaborazione di JSON e JSONC con un'impronta di memoria minima. Prima della versione 3.6.0, Assembler materializza le proprietà degli oggetti mediante assegnamento semplice, quindi una chiave di input denominata __proto__ invoca il setter ereditato causando la sostituzione del prototipo dell'oggetto analizzato invece della creazione di una propria proprietà dati. Le applicazioni che prendono decisioni di autorizzazione o funzionalità basate su valori ereditati possono pertanto consumare proprietà controllate dall'attaccante, e un null prototype può interrompere il codice che si aspetta i metodi Object.prototype. Il ricercatore considera l'analisi del JSON non attendibile come parte del contratto del progetto, mentre il manutentore afferma che gli input documentati sono dump locali, esportazioni o log e caratterizza il vettore di attacco come locale. L'Object.prototype globale non viene inquinato. Questo problema è risolto nella versione 3.6.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.