CVE-2026-32316

jq bir komut satırı JSON işlemcisidir. Versiyon 1.8.1 dahil olmak üzere, jvp_string_append() ve jvp_string_copy_replace_bad fonksiyonlarında bir tamsayı taşması zafiyeti bulunmaktadır; toplam uzunluğu 2^31 baytı aşan dizelerin birleştirilmesi, tampon ayırma boyutu hesaplamasında 32 bitlik işaretsiz bir tamsayı taşmasına neden olarak ciddi şekilde yetersiz boyutlandırılmış bir yığın tamponuna yol açmaktadır. Ardından gelen bellek kopyalama işlemleri, tüm dize verilerini bu yetersiz boyutlu tampona yazarak CWE-190 (Integer Overflow) olarak sınıflandırılan ve CWE-122 (Heap-based Buffer Overflow) ile sonuçlanan bir yığın tamponu taşmasına neden olmaktadır. Güvenilmeyen jq sorgularını değerlendiren tüm sistemler etkilenmektedir; çünkü bir saldırgan, son derece büyük dizeler üreten sorgular hazırlayarak işlemi çökertebilir veya yığın bozulması yoluyla potansiyel olarak daha ileri düzeyde istismar gerçekleştirebilir. Kök neden, halihazırda boyut sınırları olan dizilerin ve nesnelerin aksine, dize boyutu sınır kontrolünün bulunmamasıdır. Sorun e47e56d226519635768e6aab2f38f0ab037c09e5 commit'i ile giderilmiştir.