Wysoka

JSONPath Plus allows Remote Code Execution

Ujawniono: 15.02.2025
Aktualizacja: 11.10.2026 10:22

Versions of the package jsonpath-plus before 10.3.0 are vulnerable to Remote Code Execution (RCE) due to improper input sanitization. An attacker can execute aribitrary code on the system by exploiting the unsafe default usage of eval='safe' mode.

Note:

This is caused by an incomplete fix for CVE-2024-21534.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	jsonpath-plus	< 10.3.0	10.3.0

Odnośniki

Ocena CVSS 9.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-94
Platforma: npm
Paczka: jsonpath-plus
Ujawniono: 15.02.2025
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-hw8r-x6gr-5gjp - CC BY 4.0

Historia podatności: jsonpath-plus

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 10.2024 02.2025
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 1

Ujawnienia w latach

2024: 1
2025: 1
2026: 0

15.02.2025

JSONPath Plus allows Remote Code Execution ten wpis

Wysoka · 9.8 CVE-2025-1302 < 10.3.0 10.3.0
11.10.2024

JSONPath Plus Remote Code Execution (RCE) Vulnerability

Krytyczna · 9.8 CVE-2024-21534 < 10.2.0 10.2.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację