CVE-2026-122234
ŚrednieCVSS 4.7Streszczenie
Biblioteka jsondiffpatch w wersji przed 0.7.7 zawiera lukę typu cross-site scripting (XSS), która pozwala atakującym wstrzyknąć znaczniki poprzez nieescapowany indeks docelowy operacji przeniesienia tablicy w delcie. Atakujący kontrolujący deltę przekazaną do formatters.html.format() lub formatters.annotated.format() może osadzić skrypt, który wykona się w origin aplikacji podczas renderowania wyniku.
Ocena ryzyka
Możliwe jest wykonanie dowolnego kodu JavaScript w kontekście aplikacji ofiary, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy aplikacji renderujących niezaufane delty jsondiffpatch.
Rekomendacja
Zaktualizuj jsondiffpatch do wersji 0.7.7 lub nowszej. Nie renderuj niezaufanych delt bez odpowiedniego escapowania danych wyjściowych.
Inne podatności w jsondiffpatch
Zobacz wszystkie- CVE-2026-8657Wysokie
Podatność Prototype Pollution w bibliotece jsondiffpatch przed wersją 0.7.6 umożliwia atakującemu modyfikację prototypu Object.prototype poprzez dostarczenie spreparowanych dokumentów delta lub JSON Patch. Atak wykorzystuje brak ograniczeń dostępu do specjalnych właściwości, takich jak __proto__ czy constructor.prototype, podczas przetwarzania przez API jsondiffpatch.patch() i jsondiffpatch/formatters/jsonpatch.patch().
- CVE-2025-9910Średnie
Pakiety jsondiffpatch w wersjach przed 0.7.2 są podatne na Cross-site Scripting (XSS) poprzez HtmlFormatter::nodeBegin. Atakujący może wstrzyknąć złośliwe skrypty do ładunków HTML, co może prowadzić do wykonania kodu, jeśli niezaufane ładunki są używane jako źródło różnic, a wynik jest renderowany wbudowanym formaterem HTML na prywatnej stronie.
Oryginalny opis (angielski, źródło NVD)
jsondiffpatch before 0.7.7 contains a cross-site scripting vulnerability that allows attackers to inject markup by supplying an unescaped array-move destination index in a delta. Attackers who control a delta passed to formatters.html.format() or formatters.annotated.format() can embed script that executes in the application's origin when output is rendered.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS