CVE-2026-104183
ŚrednieCVSS 5.1Streszczenie
stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC o minimalnym zużyciu pamięci. Przed wersją 3.6.0, Assembler materializuje właściwości obiektów przez zwykłe przypisanie, więc klucz wejściowy o nazwie __proto__ wywołuje dziedziczony setter i powoduje zastąpienie prototypu przetwarzanego obiektu zamiast utworzenia własnej właściwości danych. Aplikacje, które podejmują decyzje autoryzacyjne lub funkcjonalne na podstawie dziedziczonych wartości, mogą korzystać z właściwości kontrolowanych przez atakującego, a null prototype może zakłócić działanie kodu oczekującego metod Object.prototype. Badacz traktuje parsowanie niezaufanego JSON jako część kontraktu projektu, podczas gdy opiekun stwierdza, że udokumentowane wejścia to lokalnie posiadane zrzuty, eksporty lub logi i charakteryzuje wektor ataku jako lokalny. Globalny Object.prototype nie jest zanieczyszczony. Problem został naprawiony w wersji 3.6.0.
Ocena ryzyka
Jeśli aplikacja przetwarza niezaufane dane JSON, atakujący może wpłynąć na decyzje autoryzacyjne lub spowodować błędy działania, co może prowadzić do naruszenia bezpieczeństwa lub stabilności aplikacji.
Rekomendacja
Należy zaktualizować bibliotekę stream-json do wersji 3.6.0 lub nowszej, aby wyeliminować podatność.
Inne podatności w stream-json
Zobacz wszystkie- CVE-2026-104182Średnie
stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC o minimalnym zużyciu pamięci. Przed wersją 3.6.0, parser JSONC w stream-json/jsonc/parser.js i weryfikator w stream-json/jsonc/verifier.js wznawiają skanowanie terminatora komentarza od otwierającego ukośnika, gdy komentarz blokowy lub liniowy obejmuje wiele fragmentów wejścia, zachowując jednocześnie zgromadzony bufor komentarza. Dostarczenie dużego prawidłowego komentarza w wielu małych fragmentach powoduje kwadratową złożoność obliczeniową i może zablokować pętlę zdarzeń Node.js. Opiekun charakteryzuje wektor ataku jako lokalny, ponieważ udokumentowane wejście JSONC jest lokalnie posiadaną lub kontrolowaną przez użytkownika konfiguracją, a nie danymi przeznaczonymi dla otwartego internetu. Zakres dotyczy tylko JSONC, nie obejmuje zwykłego parsera JSON, który przetwarza i odrzuca zużyte dane łańcuchowe i liczbowe. Problem został naprawiony w wersji 3.6.0.
- CVE-2026-71429Średnie
stream-json to mikro-biblioteka komponentów strumieniowych do przetwarzania JSON i JSONC, która przed wersją 3.5.0 w filtrach ścieżek pick, ignore, filter i replace w src/core/filters/filter-base.js przelicza pełny ciąg ścieżki ze stosu zagnieżdżenia dla każdego tokena podlegającego sprawdzeniu. Ponieważ długość stosu równa się bieżącej głębokości zagnieżdżenia, a token sprawdzany jest emitowany na każdym poziomie, dokument o głębokości D kosztuje O(D²) zamiast O(D). Problem jest wywoływany przez głębokość zagnieżdżenia, a nie objętość bajtów, więc aplikacja przesyłająca niezaufany JSON przez filtr string lub RegExp może zablokować pętlę zdarzeń Node.js i spowodować denial of service przy użyciu małego, głęboko zagnieżdżonego dokumentu. Streamery streamArray, streamObject i streamValues nie są dotknięte, ponieważ używają stałoczasowego gettera asm.depth. Problem naprawiono w wersji 3.5.0.
Oryginalny opis (angielski, źródło NVD)
stream-json is a micro-library of stream components for processing JSON and JSONC with a minimal memory footprint. Prior to 3.6.0, Assembler materializes object properties with plain assignment, so an input key named __proto__ invokes the inherited setter and causes parsed object prototype replacement instead of creating an own data property. Applications that make authorization or feature decisions from inherited values can therefore consume attacker-controlled properties, and a null prototype can disrupt code that expects Object.prototype methods. The researcher treats parsing untrusted JSON as part of the project contract, while the maintainer states that documented inputs are locally owned dumps, exports, or logs and characterizes the attack vector as local. The global Object.prototype is not polluted. This issue is fixed in version 3.6.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS