CVE-2026-49839

jq komanda sətri üçün nəzərdə tutulmuş JSON prosessordur. 1.8.2 versiyasından əvvəl `jq --rawfile`, iddiaların deaktiv edildiyi (assertion-disabled) build-lərdə həll edilmiş həddindən artıq böyük sətir xətasını etibarsız vəziyyətin təkrar istifadəsinə və yığnaqda (heap) hədləri aşan yazmaya çevirə bilər. jv_load_file(raw=1) hücumçu tərəfindən idarə olunan faylı oxuduqda, fayl hissələrini ardıcıl olaraq eyni jv sətir akkumulyatoruna əlavə edir. jv_string_append_buf() funksiyası jv_invalid_with_msg("String too long") qaytardıqdan sonra raw-file dövrü dayanmır. Əgər faylda ən azı bir bayt daha varsa, növbəti dövr iterasiyası yeni hissəni artıq etibarsız olan obyektə əlavə edir. İddialar aktiv olduqda bu proses jvp_string_ptr()-də dayandırılır. İddialar deaktiv edildikdə isə etibarsız obyekt sətir obyekti kimi şərh edilir və ASan heap-buffer-overflow xətası bildirir. Bu zəiflik 1.8.2 versiyasında aradan qaldırılıb.