CVE-2026-67215

Nome do Software Vulnerável e Versões Afetadas cJSON versões anteriores a 1.7.20

Descrição O problema envolve recursão descontrolada nas funções cJSONUtils ApplyPatches() e cJSONUtils ApplyPatchesCaseSensitive(). Quando um JSON Patch RFC 6902 não confiável é aplicado, um invasor pode usar operações de adição e cópia para criar subárvores duplicadas que aumentam a profundidade do documento além do limite de aninhamento do analisador. Como a função cJSON Delete() recursa sem um limite de profundidade e a guarda CJSON CIRCULAR LIMIT em cJSON Duplicate() está definida como 10.000 (o que excede o limite de aninhamento de 1.000 níveis), o processo pode sofrer exaustão de pilha. Isso permite que um invasor remoto cause a falha do processo, resultando em negação de serviço.

Recomendações Atualize para a versão 1.7.20 ou posterior. Como mitigação temporária, restrinja o uso das funções cJSONUtils ApplyPatches() e cJSONUtils ApplyPatchesCaseSensitive() ao processar documentos JSON Patch não confiáveis.