CVE-2026-8657
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność Prototype Pollution w bibliotece jsondiffpatch przed wersją 0.7.6 umożliwia atakującemu modyfikację prototypu Object.prototype poprzez dostarczenie spreparowanych dokumentów delta lub JSON Patch. Atak wykorzystuje brak ograniczeń dostępu do specjalnych właściwości, takich jak __proto__ czy constructor.prototype, podczas przetwarzania przez API jsondiffpatch.patch() i jsondiffpatch/formatters/jsonpatch.patch().
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu, eskalacji uprawnień lub naruszenia integralności danych, ponieważ atakujący może wstrzyknąć złośliwe właściwości do globalnego prototypu obiektów, wpływając na działanie całej aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki jsondiffpatch do wersji 0.7.6 lub nowszej, która zawiera poprawkę eliminującą podatność. Należy również przejrzeć kod aplikacji pod kątem użycia podatnych API i rozważyć walidację danych wejściowych.
Inne podatności w jsondiffpatch
Zobacz wszystkie- CVE-2026-122234Średnie
Biblioteka jsondiffpatch w wersji przed 0.7.7 zawiera lukę typu cross-site scripting (XSS), która pozwala atakującym wstrzyknąć znaczniki poprzez nieescapowany indeks docelowy operacji przeniesienia tablicy w delcie. Atakujący kontrolujący deltę przekazaną do formatters.html.format() lub formatters.annotated.format() może osadzić skrypt, który wykona się w origin aplikacji podczas renderowania wyniku.
- CVE-2025-9910Średnie
Pakiety jsondiffpatch w wersjach przed 0.7.2 są podatne na Cross-site Scripting (XSS) poprzez HtmlFormatter::nodeBegin. Atakujący może wstrzyknąć złośliwe skrypty do ładunków HTML, co może prowadzić do wykonania kodu, jeśli niezaufane ładunki są używane jako źródło różnic, a wynik jest renderowany wbudowanym formaterem HTML na prywatnej stronie.
Oryginalny opis (angielski, źródło NVD)
Versions of the package jsondiffpatch before 0.7.6 are vulnerable to Prototype Pollution via the jsondiffpatch.patch() and jsondiffpatch/formatters/jsonpatch.patch() APIs. An attacker can perform prototype pollution by supplying crafted delta or JSON Patch documents, as attacker-controlled property names and path segments are used to traverse and modify objects without restricting access to special properties like __proto__ or constructor.prototype, allowing modification of Object.prototype.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS