CVE-2025-61140

KrytyczneCVSS 9.8

Opublikowano: 28/01/2026(UTC)Zaktualizowano: 07/09/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

Funkcja value w bibliotece jsonpath w wersji 1.1.1 (plik lib/index.js) jest podatna na zanieczyszczenie prototypu (Prototype Pollution). Atakujący może wstrzyknąć złośliwe właściwości do globalnego prototypu Object, co prowadzi do nieautoryzowanego dostępu lub modyfikacji danych.

Ocena ryzyka

Ryzyko polega na możliwości zdalnego wykonania kodu lub eskalacji uprawnień poprzez manipulację prototypem, co może naruszyć integralność i poufność systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację biblioteki jsonpath do najnowszej wersji, która usuwa tę podatność, oraz wdrożenie walidacji danych wejściowych.

Inne podatności w jsonpath

CVE-2026-1615Krytyczne
Biblioteka jsonpath przed wersją 1.3.0 jest podatna na zdalne wykonanie kodu (RCE) w środowisku Node.js oraz na ataki XSS w przeglądarce. Podatność wynika z niebezpiecznego użycia modułu static-eval do przetwarzania wyrażeń JSON Path, co pozwala atakującemu na wstrzyknięcie dowolnego kodu JavaScript. Dotyczy to wszystkich metod oceniających ścieżki JSON, takich jak .query, .nodes, .paths, .value, .parent i .apply.

Oryginalny opis (angielski, źródło NVD)

The value function in jsonpath 1.1.1 lib/index.js is vulnerable to Prototype Pollution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS