CVE-2026-104183

stream-json, JSON ve JSONC'yi minimum bellek kullanımıyla işlemek için akış bileşenlerinden oluşan bir mikro kütüphanedir. 3.6.0 sürümünden önce Assembler, nesne özelliklerini düz atama ile somutlaştırır; bu nedenle __proto__ isimli bir giriş anahtarı, miras alınan setter'ı çağırarak kendi veri özelliğini oluşturmak yerine ayrıştırılmış nesne prototipinin değiştirilmesine neden olur. Miras alınan değerlere göre yetkilendirme veya özellik kararları veren uygulamalar, saldırgan tarafından kontrol edilen özellikleri kullanabilir ve null bir prototip, Object.prototype yöntemlerini bekleyen kodu bozabilir. Araştırmacı, güvenilmeyen JSON'un ayrıştırılmasını proje sözleşmesinin bir parçası olarak değerlendirirken, bakımcı ise belgelenmiş girişlerin yerel sahipliğe sahip dökümler, dışa aktarmalar veya günlükler olduğunu belirtmekte ve saldırı vektörünü yerel olarak nitelendirmektedir. Global Object.prototype kirletilmemektedir. Bu sorun 3.6.0 sürümünde düzeltilmiştir.