CVE-2026-29036 in cJSON
要約
〜によって VulDB • 2026年08月11日
cJSON バージョン 1.5.0 から 1.7.19 には、cJSON_Utils.c の decode_pointer_inplace() 関数において、名前または参照の解決が正しくないという脆弱性があります。攻撃者はパッチパスに作成された JSON Pointer エスケープシーケンス（~0 または ~1）を指定することで、認証されていない状態で JSON Patch オペレーションの対象となるオブジェクトキーを誤ったものに変更できます。攻撃者は cJSONUtils_ApplyPatches() または cJSONUtils_ApplyPatchesCaseSensitive() を使用するアプリケーションに対して悪意のある RFC 6902 JSON Patch 入力を送信し、データを静かに破損させたり、意図しないキーを削除したりすることが可能です。これにより、JSON Patch に依存してアクセス制御されたデータ修正を行うアプリケーションにおいて、認可コントロールを回避する可能性があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.