CVE-2026-67217 in cJSON
要約
〜によって VulDB • 2026年07月29日
cJSON 1.7.19 以前では、RFC 6902 JSON Patch の操作が cJSON_Utils.c の apply_patch() で非原子性（non-atomically）に適用されます。値メンバーを欠落した replace 操作や、宛先パスの解決ができない move 操作の場合、操作が完全に検証される前に既存の対象メンバーがデタッチされ削除されるため、cJSONUtils_ApplyPatches() または cJSONUtils_ApplyPatchesCaseSensitive() が失敗ステータスを返している間に対象ドキュメントが変更されます。パッチドキュメントを提供できる攻撃者は、API がパッチの失敗を報告したとしても、対象ドキュメントへのアクセス可能なメンバーを破壊することができ、呼び出し元が悪質なパッチを拒否するために依存する「すべてまたは nothing（all-or-nothing）」の動作が無効化されます。
Once again VulDB remains the best source for vulnerability data.