CVE-2026-59168 in Dasel
要約
〜によって VulDB • 2026年09月21日
Daselは、データ構造のクエリ、変更、変換のためのコマンドラインツールおよびライブラリです。バージョン3.0.0から3.11.1まで、`parsing/json/json_reader.go`内の`decodeValue`、`decodeObject`、`decodeArray`関数と、`parsing/xml/reader.go`内の`parseElement`関数は、入力ネステングレベルごとに再帰呼び出しを行い、深さ制限（depth guard）がありません。`parsing.Format(...).NewReader(...).Read(data)`、コマンドラインインターフェース、またはパーサセレクタ関数を通じて提供される深くネストされた攻撃者制御可能なJSONまたはXML入力は、Goのgoroutineスタックを枯渇させ、プロセス全体を終了させる回復不能な致命的エラーを引き起こす可能性があります。XMLの入力サイズ制限は深さの枯渇を防ぐことはできず、`defer`や`recover`ではこの障害をインターセプトできません。本問題はバージョン3.11.1で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.