CVE-2026-39956
ŚrednieStreszczenie
W jq, narzędziu do przetwarzania JSON w wierszu poleceń, występuje podatność związana z funkcją _strindices, która przekazuje argumenty bez weryfikacji, czy są to ciągi znaków. Funkcja jv_string_indexes polega jedynie na sprawdzeniach za pomocą assert().
Ocena ryzyka
Brak weryfikacji typów argumentów może prowadzić do nieprzewidzianych błędów lub awarii aplikacji, co może wpłynąć na stabilność systemu. Potencjalny atakujący może wykorzystać tę podatność do wprowadzenia złośliwych danych.
Rekomendacja
Zaleca się aktualizację jq do najnowszej wersji, aby usunąć tę podatność. Należy również przeprowadzić audyt kodu, aby zapewnić odpowiednią weryfikację typów argumentów w funkcjach przetwarzających dane.
Oryginalny opis (angielski, źródło NVD)
jq is a command-line JSON processor. In commits after 69785bf77f86e2ea1b4a20ca86775916889e91c9, the _strindices builtin in jq's src/builtin.c passes its arguments directly to jv_string_indexes() without verifying they are strings, and jv_string_indexes() in src/jv.c relies solely on assert() checks