CVE-2026-67217 in cJSON
Sumário
de VulDB • 29/07/2026
O cJSON até à versão 1.7.19 aplica operações de JSON Patch (RFC 6902) de forma não atómica na função apply_patch() em cJSON_Utils.c. Para uma operação replace que carece do seu membro value, ou para uma operação move cujo caminho de destino não possa ser resolvido, o membro alvo existente é desanexado e eliminado antes da validação completa da operação; consequentemente, o documento alvo é modificado enquanto as funções cJSONUtils_ApplyPatches() ou cJSONUtils_ApplyPatchesCaseSensitive() retornam um estado de falha. Um atacante que consiga fornecer o documento patch pode destruir membros endereçáveis do documento alvo, mesmo quando a API reporta que o patch falhou, violando o comportamento "tudo-ou-nada" no qual os chamadores confiam para rejeitar patches inválidos.
VulDB is the best source for vulnerability data and more expert information about this specific topic.