CVE-2026-61814
WysokieCVSS 7.5Streszczenie
Jawn, parser JSON, w wersjach przed 1.7.0 pozwala na atak typu denial of service. AsyncParser wykonuje pracę kwadratową, gdy pojedynczy token JSON jest dostarczany w wielu małych fragmentach, ponieważ każde wywołanie absorb ponownie skanuje niekompletny token od początku. Zdalny atakujący kontrolujący dane wejściowe i rozmiary fragmentów może wyczerpać zasoby CPU.
Ocena ryzyka
Aplikacje używające AsyncParser mogą stać się niedostępne z powodu wyczerpania CPU przez zdalnego atakującego przesyłającego odpowiednio podzielone dane JSON.
Rekomendacja
Zaktualizuj bibliotekę Jawn do wersji 1.7.0 lub nowszej. Rozważ ograniczenie rozmiaru i liczby fragmentów przesyłanych do parsera.
Inne podatności w Jawn
Zobacz wszystkie- CVE-2026-59990Wysokie
Jawn, parser JSON, w wersjach przed 1.7.0 nie ogranicza głębokości zagnieżdżenia tablic i obiektów JSON. Zdalny atakujący może przesłać niezaufany JSON o ekstremalnym zagnieżdżeniu, wyczerpując stertę JVM i powodując błąd OutOfMemoryError, który nie jest obsługiwany przez scala.util.Try ani cats.effect.IO.
- CVE-2026-66648Krytyczne
Nieuwierzytelniona podatność na eskalację uprawnień w wersjach Jawn do 1.4.2. Atakujący może uzyskać wyższe uprawnienia bez logowania.
Oryginalny opis (angielski, źródło NVD)
Jawn is an open source JSON parser. Prior to 1.7.0, Jawn's AsyncParser can perform quadratic work when a single JSON token is delivered across many small chunks because each absorb call rescans the incomplete token from the start. A remote attacker who controls untrusted JSON input and its chunk sizes can exhaust CPU resources and cause denial of service in applications using AsyncParser. This issue is fixed in version 1.7.0.