CVE-2026-46377
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Dasel w wersjach od 3.0.0 do 3.10.0 zawiera podatność w funkcji parseCurRune w tokenizerze, która nie sprawdza granic tablicy podczas przetwarzania sekwencji ucieczki w cytowanych ciągach znaków. Atakujący może dostarczyć specjalnie spreparowany selektor, powodując panic z powodu indeksu poza zakresem.
Ocena ryzyka
Podatność umożliwia atakującemu wywołanie awarii aplikacji (panic) poprzez kontrolowany selektor, co może prowadzić do odmowy usługi (DoS) w systemach korzystających z Dasel do przetwarzania danych.
Rekomendacja
Należy niezwłocznie zaktualizować Dasel do wersji 3.10.1 lub nowszej, która zawiera poprawkę zabezpieczającą przed tym problemem.
Inne podatności w Dasel
Zobacz wszystkie- CVE-2026-62866Średnie
Dasel w wersjach od 3.0.0 do 3.11.2 ma błąd w tokenizerze, który przy selektorze kończącym się białym znakiem odczytuje poza zakresem tablicy, powodując panikę i zakończenie procesu. Dotyczy to również danych wejściowych przekazywanych przez Tokenize() lub dasel.Query.
- CVE-2026-59168Średnie
Dasel w wersjach od 3.0.0 do 3.11.1 nie ma limitu głębokości rekurencji przy przetwarzaniu zagnieżdżonych struktur JSON lub XML. Głęboko zagnieżdżone dane atakującego mogą wyczerpać stos gorutyny, powodując krytyczny błąd i zatrzymanie całego procesu.
- CVE-2026-46378Średnie
Podatność w narzędziu Dasel w wersjach od 3.0.0 do 3.10.1 powoduje nieskończoną pętlę podczas tokenizacji niezakończonego literału wyrażenia regularnego (np. r/). Atakujący może wykorzystać kontrolowany ciąg selektora do wyczerpania zasobów procesora.
Oryginalny opis (angielski, źródło NVD)
Dasel is a command-line tool and library for querying, modifying, and transforming data structures. From 3.0.0 until 3.10.1, the escape sequence handler in (*Tokenizer).parseCurRune in selector/lexer/tokenize.go increments past a trailing backslash in a quoted string such as "\ or '\ and then reads p.src[pos] without a bounds check, allowing attacker-controlled selector strings to trigger a Go index-out-of-range panic. This issue is fixed in version 3.10.1.