CVE-2026-67215 in cJSON
要約
〜によって VulDB • 2026年07月29日
cJSON 1.7.19 までは、信頼できない RFC 6902 JSON Patch が cJSONUtils_ApplyPatches() または cJSONUtils_ApplyPatchesCaseSensitive() を介して適用される際に、制御されない再帰によりスタックの枯渇（stack exhaustion）を引き起こす脆弱性が存在する。add および copy オペレーションを含むパッチは重複したサブツリーを結合し、ドキュメントの深さをパーサーのネストレベル制限を超えて増大させる：cJSON_Delete() は深度制限なしで再帰呼び出しを行い、また cJSON_Duplicate() のガードである CJSON_CIRCULAR_LIMIT が 10000 に設定されているため（これはパーサーの 1000 レベルのネストレベル制限の 10 倍であり、デフォルトのスレッドスタックをオーバーフローするのに十分な大きさ）、攻撃者がパッチドキュメントを提供することでプロセスがクラッシュし、サービス拒否（DoS）を引き起こす可能性がある。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.