CVE-2026-104183

stream-json, JSON və JSONC fayllarını minimum yaddaş istifadəsi ilə emal etmək üçün nəzərdə tutulmuş kiçik bir stream komponentləri kitabxanasıdır. 3.6.0 versiyasından əvvəl Assembler obyekt xüsusiyyətlərini adi mənimsətmə vasitəsilə reallaşdırır, buna görə də __proto__ adlı giriş açarı miras alınan setter funksiyasını çağırır və öz məlumat xüsusiyyətini yaratmaq əvəzinə analiz edilmiş obyekt prototipinin əvəzlənməsinə səbəb olur. Beləliklə, avtorizasiya və ya funksiya qərarlarını miras alınan dəyərlərə əsasən verən tətbiqlər hücumçu tərəfindən idarə olunan xüsusiyyətləri qəbul edə bilər, həmçinin null prototipi Object.prototype metodlarını gözləyən kodu sıradan çıxara bilər. Tədqiqatçı etibarsız JSON-un analiz edilməsini layihə müqaviləsinin bir hissəsi kimi hesab etsə də, saxlayıcı sənədləşdirilmiş girişlərin yerli dump-lar, eksportlar və ya loqlar olduğunu bildirir və hücum vektorunu lokal kimi xarakterizə edir. Qlobal Object.prototype çirklənmir. Bu problem 3.6.0 versiyasında düzəldilib.