CVE-2026-41256
ŚrednieStreszczenie
jq to narzędzie do przetwarzania JSON w wierszu poleceń. W wersjach 1.8.1 i wcześniejszych, programy jq ładowane z pliku za pomocą opcji -f są obcinane przy pierwszym napotkanym bajcie NUL, co pozwala na wykonanie złośliwego filtru, który zawiera bajt NUL oraz dowolny sufiks.
Ocena ryzyka
Zagrożenie polega na możliwości wykonania złośliwego kodu poprzez manipulację plikami filtrów, co może prowadzić do nieautoryzowanego dostępu lub wykonania niebezpiecznych operacji w systemie.
Rekomendacja
Zaleca się aktualizację jq do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością oraz unikanie używania zewnętrznych plików filtrów, których źródło nie jest zaufane.
Oryginalny opis (angielski, źródło NVD)
jq is a command-line JSON processor. In 1.8.1 and earlier, Top-level jq programs loaded from a file with -f are truncated at the first embedded NUL byte on current upstream HEAD. A crafted filter file such as . followed by \x00 and arbitrary suffix compiles and executes as only the prefix before the