Kritische Arbitrary Code Injection-Lücke in der jsonpath-Bibliothek (CVE-2026-1615)

Zusammenfassung

Die jsonpath-Bibliothek ist anfällig für Arbitrary Code Injection, da unsichere Verarbeitung von JSON-Pfadausdrücken eine Ausführung von beliebigem JavaScript-Code ermöglicht. Dies kann zu schwerwiegenden Sicherheitsrisiken wie Remote Code Execution in Node.js-Anwendungen und Cross-Site Scripting (XSS) in Webbrowsern führen. Alle Methoden, die JSON-Pfade auswerten, sind betroffen. Eine Behebung der Schwachstelle ist dringend erforderlich.

JsonPath - Jsonpath - CRITICAL - CVE-2026-1615. The jsonpath package is susceptible to Arbitrary Code Injection due to improper handling of user-supplied JSON Path expressions. This vulnerability arises from the library's reliance on the static-eval module, which does not safely manage untrusted data. Attackers can exploit this flaw by crafting malicious JSON Path expressions that, once evaluated, execute arbitrary JavaScript code. This can lead to serious security risks, including Remote Code Execution in Node.js applications and Cross-site Scripting (XSS) in web browser environments. All methods that evaluate JSON Paths, such as .query, .nodes, .paths, .value, .parent, and .apply, are affected.