CVE-2026-33948

إصدارات jq السابقة لـ commit 6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b

تسمح عملية تحليل المدخلات في واجهة سطر الأوامر (CLI) بتجاوز عملية التحقق من الصحة عبر بايتات NUL مضمنة عند قراءة JSON من الملفات أو من المدخل القياسي (stdin). يستخدم البرنامج دالة strlen() لتحديد طول المخزن المؤقت بدلاً من العدد الفعلي للبايتات المستمد من دالة fgets()، مما يؤدي إلى اقتطاع المدخلات عند أول بايت NUL وتحليل البادئة السابقة فقط. وهذا يسمح للمهاجم بصياغة مدخلات تحتوي على بادئة JSON غير ضارة تسبق بايت NUL، تليها بيانات ختامية ضارة؛ حيث يقوم النظام بالتحقق من صحة البادئة فقط باعتبارها JSON صالحة، بينما يتجاهل اللاحقة بصمت. تعتبر سير العمل التي تعتمد على الأداة للتحقق من صحة JSON غير الموثوق به قبل إعادة توجيهه إلى المستخدمين النهائيين عرضة لهجمات التفاضل في المحلل، حيث قد يقوم المستخدمون النهائيون بمعالجة المدخلات بالكامل بما في ذلك البايتات الخلفية الخبيثة.

قم بالتحديث إلى الإصدار الذي يحتوي على الالتزام 6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b.