CVE-2026-1615

jsonpath paketinin 1.3.0 öncesindeki sürümleri, kullanıcı tarafından sağlanan JSON Path ifadelerinin güvenli olmayan şekilde değerlendirilmesi yoluyla Keyfi Kod Enjeksiyonuna karşı savunmasızdır. Kütüphane, JSON Path girdilerini işlemek için güvenilmeyen verileri güvenli bir şekilde ele almak üzere tasarlanmamış olan static-eval modülüne dayanmaktadır. Bir saldırgan, değerlendirildiğinde keyfi JavaScript kodu çalıştıran kötü amaçlı bir JSON Path ifadesi sağlayarak bu zafiyeti istismar edebilir; bu durum Node.js ortamlarında Uzaktan Kod Çalıştırmaya veya tarayıcı bağlamlarında Siteler Arası Betik Çalıştırmaya (XSS) yol açabilir. Bu durum, .query, .nodes, .paths, .value, .parent ve .apply dahil olmak üzere nesnelere karşı JSON Path'leri değerlendiren tüm yöntemleri etkilemektedir.