注目★★★★★GitHub Advisory
JSONata に任意コード実行脆弱性、2.2.1 / 1.8.8 でパッチ
30秒で把握
- 1JSONata 脆弱性 CVE-2026-77415、細工された式で任意コード実行可能だった
- 2バージョン 2.2.1・1.8.8 以上で修正済み・複数の PR で実装欠陥を封塞
- 3依存プロジェクトは対象バージョンへの更新と、入力値検証の徹底を実施
要約
JSONata 2.2.1 および 1.8.8 より前のバージョンに、細工された式による任意コード実行の脆弱性が存在した。$clone の上書き、JSONata 関数/ラムダの分解、applyProcedure の実装により、複数の手法をチェーンして任意コード実行が可能だった。GitHub PR #799・#800・#802 で修正し、2.2.1 および 1.8.8 リリースで対応済み。
あなたへの影響
JSONata を依存ライブラリとして使用しているプロジェクトは、2.2.1 または 1.8.8 以上への更新を確認してください。
推奨：特にユーザー入力を JSONata 式として実行している場合は即座の対応が必要です。