CVE-2026-39956

Name of the Vulnerable Software and Affected Versions jq (versões afetadas não especificadas)

Description A função integrada strindices em src/builtin.c passa argumentos para jv string indexes() em src/jv.c sem verificar se são strings. Como a jv string indexes() depende de verificações assert() que são removidas em builds de lançamento compilados com -DNDEBUG, um invasor pode causar a interrupção do programa fornecendo entradas como strindices(0). Além disso, ao criar um valor numérico cujo padrão de bits IEEE-754 mapeie para um ponteiro escolhido, é possível alcançar a desreferência controlada de ponteiro e uma primitiva limitada de leitura/sonda de memória. Isso afeta implementações que avaliam filtros não confiáveis em builds de lançamento.

Recommendations Aplique a correção fornecida no commit fdf8ef0f0810e3d365cdd5160de43db46f57ed03.