CVE-2026-113602

ŚrednieCVSS 5.3

Opublikowano: 20/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Streszczenie

json-smart do 2.6.0 zawiera podatność obejścia walidacji danych wejściowych, która pozwala atakującym ominąć kontrole danych końcowych w trybie ścisłym poprzez wstawienie znaku 0x1A. Atakujący mogą dołączyć 0x1A i zniekształconą treść, aby przejść walidację JSONValue.parseStrict lub isValidJsonStrict, tworząc różnice w parsowaniu z parserami niższego poziomu, takimi jak Jackson lub Gson.

Ocena ryzyka

Atakujący może przemycić złośliwe dane przez walidację, powodując różnice w parsowaniu i potencjalne luki w zabezpieczeniach aplikacji. Może to prowadzić do nieoczekiwanego zachowania i obejścia kontroli bezpieczeństwa.

Rekomendacja

Zaktualizuj json-smart do wersji nowszej niż 2.6.0. Upewnij się, że walidacja JSON jest spójna między komponentami.

Inne podatności w json-smart

CVE-2021-27568Średnie
W bibliotece netplex json-smart-v1 do 2015-10-23 oraz json-smart-v2 do 2.4 występuje nieprzechwycony wyjątek (np. NumberFormatException). Może to spowodować awarię programów korzystających z biblioteki lub ujawnienie poufnych informacji.

Oryginalny opis (angielski, źródło NVD)

json-smart through 2.6.0 contains an input validation bypass vulnerability that allows attackers to evade strict-mode trailing-data checks by inserting a literal 0x1A character. Attackers can append 0x1A and malformed content to pass JSONValue.parseStrict or isValidJsonStrict validation, creating parser differentials with downstream parsers like Jackson or Gson.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS