CVE-2026-29036 in cJSON
요약
\~에 의해 VulDB • 2026. 08. 12.
cJSON 버전 1.5.0부터 1.7.19까지에는 cJSON_Utils.c의 decode_pointer_inplace() 함수에서 이름 또는 참조가 잘못 해석되는 취약점이 존재합니다. 공격자는 패스 경로에 조작된 JSON Pointer 이스케이프 시퀀스(~0 또는 ~1)를 제공하여 인증되지 않은 상태에서 JSON Patch 작업이 잘못된 객체 키를 대상으로 하도록 할 수 있습니다. 공격 cJSONUtils_ApplyPatches() 또는 cJSONUtils_ApplyPatchesCaseSensitive() 함수를 사용하는 애플리케이션에 악성 RFC 6902 JSON Patch 입력을 제출함으로써 데이터를 조용히 손상시키거나 의도하지 않은 키를 삭제할 수 있으며, 이는 접근 제어 데이터 수정에 JSON Patch를 의존하는 애플리케이션에서 권한 관리 우회로 이어질 가능성이 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.