CVE-2026-84965

ŚrednieCVSS 5.1

Opublikowano: 03/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 03/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Przepełnienie liczby całkowitej w obliczeniach rozmiaru alokacji w kodzie parsowania JSON w bibliotece BSON może spowodować zwolnienie bufora, podczas gdy następująca operacja kopiowania nadal zapisuje przez nieaktualny wskaźnik. Na systemach 32-bitowych nieuwierzytelniona osoba mogąca dostarczyć wystarczająco duże dane JSON do aplikacji może spowodować jej nieoczekiwane zakończenie, prowadząc do odmowy usługi.

Ocena ryzyka

Ryzyko obejmuje awarię aplikacji (odmowa usługi) w wyniku nieoczekiwanego zakończenia procesu, co może wpłynąć na dostępność usług.

Rekomendacja

Zaleca się aktualizację biblioteki BSON do wersji, która zawiera poprawkę tej podatności.

Inne podatności w BSON library

CVE-2026-120954Niskie
Słabość w obsłudze specjalistycznego typu danych binarnego wektora w bibliotece BSON pozwala na arytmetyczne przepełnienie przy obliczaniu liczby elementów opisanych przez zbyt dużą wartość dostarczoną przez atakującego. W kompilacjach, gdzie rozmiar słowa platformy wynosi 32 bity, aplikacja parsująca niezaufane dane BSON może przetworzyć tylko niewielką część dostarczonych elementów, podczas gdy operacja zgłasza sukces, co daje wyniki niezgodne z akcesorami bajtowymi i z 64-bitowymi kompilacjami tej samej biblioteki. Nie jest wymagane uwierzytelnienie ani interakcja użytkownika poza spowodowaniem, że aplikacja parsuje dane. Wpływ ogranicza się do integralności danych; bezpieczeństwo pamięci nie jest naruszone i żadne informacje nie są ujawniane.

Oryginalny opis (angielski, źródło NVD)

An integer wraparound in an allocation size calculation in the BSON library's JSON parsing code can cause a buffer to be released while a following copy operation still writes through the stale pointer. On builds where sizes are 32 bits, an unauthenticated party able to supply a sufficiently large JSON input to an application that links the library may cause that application to terminate unexpectedly, resulting in denial of service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS