CVE-2025-9910
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Pakiety jsondiffpatch w wersjach przed 0.7.2 są podatne na Cross-site Scripting (XSS) poprzez HtmlFormatter::nodeBegin. Atakujący może wstrzyknąć złośliwe skrypty do ładunków HTML, co może prowadzić do wykonania kodu, jeśli niezaufane ładunki są używane jako źródło różnic, a wynik jest renderowany wbudowanym formaterem HTML na prywatnej stronie.
Ocena ryzyka
Jeśli aplikacja renderuje różnice z niezaufanych źródeł za pomocą wbudowanego formatera HTML, atakujący może wykonać dowolny kod w przeglądarce użytkownika. Może to prowadzić do kradzieży sesji lub danych.
Rekomendacja
Zaktualizuj jsondiffpatch do wersji 0.7.2 lub nowszej. Unikaj renderowania niezaufanych danych przez HtmlFormatter lub stosuj dodatkowe oczyszczanie danych wyjściowych.
Inne podatności w jsondiffpatch
Zobacz wszystkie- CVE-2026-122234Średnie
Biblioteka jsondiffpatch w wersji przed 0.7.7 zawiera lukę typu cross-site scripting (XSS), która pozwala atakującym wstrzyknąć znaczniki poprzez nieescapowany indeks docelowy operacji przeniesienia tablicy w delcie. Atakujący kontrolujący deltę przekazaną do formatters.html.format() lub formatters.annotated.format() może osadzić skrypt, który wykona się w origin aplikacji podczas renderowania wyniku.
- CVE-2026-8657Wysokie
Podatność Prototype Pollution w bibliotece jsondiffpatch przed wersją 0.7.6 umożliwia atakującemu modyfikację prototypu Object.prototype poprzez dostarczenie spreparowanych dokumentów delta lub JSON Patch. Atak wykorzystuje brak ograniczeń dostępu do specjalnych właściwości, takich jak __proto__ czy constructor.prototype, podczas przetwarzania przez API jsondiffpatch.patch() i jsondiffpatch/formatters/jsonpatch.patch().
Oryginalny opis (angielski, źródło NVD)
Versions of the package jsondiffpatch before 0.7.2 are vulnerable to Cross-site Scripting (XSS) via HtmlFormatter::nodeBegin. An attacker can inject malicious scripts into HTML payloads that may lead to code execution if untrusted payloads were used as source for the diff, and the result renderer using the built-in html formatter on a private website.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS