CVE-2026-54133

jmespath.php istifadəçilərə JSON sənədindən elementlərin necə çıxarılacağını deklarativ şəkildə təyin etmək üçün nəzərdə tutulmuş JMESPath proqram təminatından PHP məlumat strukturları ilə PHP tətbiqlərində istifadə etməyə imkan verir. 2.9.1 versiyasından əvvəlki versiyalarda, `JmesPath\CompilerRuntime` hücumçu tərəfindən idarə olunan JMESPath ifadəsi ilə istifadə edildikdə, hücumçu tərəfindən idarə olunan PHP kodunun yaradılmasına və icrasına səbəb ola bilər. Kompilyator analiz edilmiş JMESPath funksiya adlarını kifayət qədər escape edilmədən generatsiya olunmuş PHP mənbə koduna daxil edir. Xüsusi hazırlanmış ifadə generatsiya olunmuş keş faylının icra oluna bilən hücumçu tərəfindən idarə olunan PHP kodu ehtiva etməsinə səbəb ola bilər ki, bu da daha sonra kompilyator runtime tərəfindən yüklənir. Problem `2.9.1` və sonrakı versiyalarda aradan qaldırılıb. Müvəqqəti həll yolu kimi `JP_PHP_COMPILE` funksiyasını söndürün və `JmesPath\CompilerRuntime`-ı hücumçu tərəfindən idarə olunan ifadələrlə istifadə etməyin. Etibarsız ifadələr üçün standart `AstRuntime`-dan istifadə edin. Yeniləmədən əvvəl etibarsız JMESPath ifadələrini qəbul etməyə davam etməli olan tətbiqlər, həmin ifadələrin heç vaxt kompilyator runtime tərəfindən qiymətləndirilmədiyinə əmin olmalıdırlar.