Nick Copi

**Nome do Software Vulnerável e Versões Afetadas** jsonpath (versões afetadas não especificadas) **Descrição** O pacote jsonpath está suscetível a Injeção de Código Arbitrário devido à avaliação insegura de expressões JSON Path fornecidas pelo usuário. A biblioteca utiliza o módulo `static-eval` para processar entradas de JSON Path, que não foi projetado para dados não confiáveis. Um atacante pode fornecer uma expressão JSON Path maliciosa que, quando avaliada, executa código JavaScript arbitrário, potencialmente levando à Execução Remota de Código em ambientes Node.js ou Cross-site Scripting (XSS) em contextos de navegador. Isso afeta todos os métodos que avaliam JSON Paths em objetos, incluindo `.query`, `.nodes`, `.paths`, `.value`, `.parent` e `.apply`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** jsonpath-plus versions prior to 10.3.0 **Description** The issue is caused by improper input sanitization, allowing an attacker to execute arbitrary code on the system by exploiting the unsafe default usage of eval='safe' mode. This is a result of an incomplete fix for a previous issue. The vulnerability can lead to Remote Code Execution (RCE). **Recommendations** For versions prior to 10.3.0, update to version 10.3.0 or later to resolve the issue. As a temporary workaround, consider disabling the use of eval='safe' mode until a patch is available. Restrict access to sensitive areas of the system to minimize the risk of exploitation. Avoid using unsanitized input in the jsonpath-plus package until the issue is resolved.