CVE-2026-33947
ŚrednieStreszczenie
jq to narzędzie do przetwarzania JSON w wierszu poleceń. W wersjach 1.8.1 i starszych funkcje jv_setpath(), jv_getpath() oraz delpaths_sorted() w pliku src/jv_aux.c wykorzystują nieograniczoną rekurencję, której głębokość jest kontrolowana przez długość tablicy ścieżek dostarczoną przez wywołującego, bez wymuszonego limitu głębokości.
Ocena ryzyka
Atakujący może dostarczyć złośliwą tablicę ścieżek, co może prowadzić do przepełnienia stosu i potencjalnego zdalnego wykonania kodu. To stwarza poważne ryzyko dla systemów korzystających z podatnych wersji jq.
Rekomendacja
Zaleca się aktualizację jq do wersji 1.8.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy monitorować i ograniczać dostępy do narzędzi przetwarzających JSON w systemach produkcyjnych.
Oryginalny opis (angielski, źródło NVD)
jq is a command-line JSON processor. In versions 1.8.1 and below, functions jv_setpath(), jv_getpath(), and delpaths_sorted() in jq's src/jv_aux.c use unbounded recursion whose depth is controlled by the length of a caller-supplied path array, with no depth limit enforced. An attacker can supply a J