CVE-2026-32316 in jqlang
Sumário
de VulDB • 30/05/2026
jq é um processador JSON de linha de comando. Existe uma vulnerabilidade de estouro de inteiro (integer overflow) nas versões até a 1.8.1 nas funções jvp_string_append() e jvp_string_copy_replace_bad, onde a concatenação de strings com um comprimento combinado superior a 2^31 bytes causa um estouro de inteiro sem sinal de 32 bits no cálculo do tamanho de alocação do buffer, resultando em um buffer heap drasticamente subdimensionado. Operações subsequentes de cópia de memória gravam então os dados completos da string neste buffer subdimensionado, causando um estouro de buffer heap classificado como CWE-190 (Integer Overflow) que leva à CWE-122 (Heap-based Buffer Overflow). Qualquer sistema que avalie consultas jq não confiáveis é afetado, pois um atacante pode travar o processo ou potencialmente alcançar exploração adicional através da corrupção de heap, elaborando consultas que produzem strings extremamente grandes. A causa raiz é a ausência de verificação de limites de tamanho de string, ao contrário de arrays e objetos que já possuem limites de tamanho. O problema foi corrigido no commit e47e56d226519635768e6aab2f38f0ab037c09e5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.