CVE-2026-33947
MediumSummary
jq to narzędzie do przetwarzania JSON w wierszu poleceń. W wersjach 1.8.1 i starszych funkcje jv_setpath(), jv_getpath() oraz delpaths_sorted() w pliku src/jv_aux.c wykorzystują nieograniczoną rekurencję, której głębokość jest kontrolowana przez długość tablicy ścieżek dostarczoną przez wywołującego, bez wymuszonego limitu głębokości.
Risk Assessment
Atakujący może dostarczyć złośliwą tablicę ścieżek, co może prowadzić do przepełnienia stosu i potencjalnego zdalnego wykonania kodu. To stwarza poważne ryzyko dla systemów korzystających z podatnych wersji jq.
Recommendation
Zaleca się aktualizację jq do wersji 1.8.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy monitorować i ograniczać dostępy do narzędzi przetwarzających JSON w systemach produkcyjnych.
Original NVD description (English source)
jq is a command-line JSON processor. In versions 1.8.1 and below, functions jv_setpath(), jv_getpath(), and delpaths_sorted() in jq's src/jv_aux.c use unbounded recursion whose depth is controlled by the length of a caller-supplied path array, with no depth limit enforced. An attacker can supply a J