JSONata 表达式可能会污染“Object”原型 (CVE-2024-27307)

CVE编号

CVE-2024-27307

利用情况

暂无

补丁情况

N/A

披露时间

2024-03-07

漏洞描述

JSONata是一种JSON查询和转换语言。在版本1.4.0及之前的版本中，在版本1.8.7和2.0.4之前，恶意表达式可以使用transform操作符来重写`Object`构造函数和原型上的属性。这可能导致拒绝服务、远程代码执行或其他应用中评估用户提供的JSONata表达式时出现意外行为。这个问题已经在JSONata版本1.8.7和2.0.4中修复。评估用户提供的表达式的应用程序应尽快更新以防止被利用。作为解决方法，可以手动应用修补程序。

解决建议

"将组件 jsonata 升级至 1.8.7 及以上版本""将组件 jsonata 升级至 2.0.4 及以上版本"

参考链接
https://github.com/jsonata-js/jsonata/commit/1d579dbe99c19fbe509f5ba2c6db7959b0d456d1
https://github.com/jsonata-js/jsonata/commit/335d38f6278e96c908b24183f1c9c90afc8ae00c
https://github.com/jsonata-js/jsonata/commit/c907b5e517bb718015fcbd993d742ba6202f2be2
https://github.com/jsonata-js/jsonata/releases/tag/v2.0.4
https://github.com/jsonata-js/jsonata/security/advisories/GHSA-fqg8-vfv7-8fj8

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com