CVE-2025-61140: Prototype Pollution na função value do jsonpath (Dchester)
A CVE-2025-61140 descreve uma fraqueza de Prototype Pollution (CWE-1321) na função value do arquivo lib/index.js da biblioteca jsonpath na versão 1.1.1. O registro no NVD traz pontuação base CVSS 3.1 de 9,8 e severidade crítica. Não há exploração confirmada nas fontes consultadas, e o registro não indica nenhuma versão corrigida.
Visão geral
A CVE-2025-61140 afeta a função value do arquivo lib/index.js da biblioteca jsonpath, versão 1.1.1. O registro a classifica como Prototype Pollution (CWE-1321). Esse problema ocorre quando uma entrada influenciável por um atacante consegue alterar propriedades de protótipos de objetos base, o que pode mudar o comportamento da aplicação. O registro foi publicado em 2026-01-28 e tem status Analyzed no NVD.
Impacto
- O registro traz pontuação base CVSS 3.1 de 9,8 (crítica) de um provedor e 8,8 de outro.
- As métricas CVSS do registro indicam alto impacto sobre confidencialidade, integridade e disponibilidade, sem exigir privilégios nem interação do usuário.
- De modo geral, a poluição de protótipo pode levar a mudanças inesperadas de lógica, negação de serviço ou contorno de verificações, dependendo de como a aplicação usa o código afetado. Como isso se aplica a um ambiente específico é uma inferência que exige análise local.
Produtos e versões afetados
- Produto listado: Dchester Jsonpath, versão 1.1.1.
- O registro não lista outras versões afetadas nem qualquer versão corrigida. Consulte o repositório upstream e os avisos do fornecedor antes de decidir quais releases são seguras.
Status de exploração
- O registro indica que a CVE não está listada no catálogo KEV da CISA.
- Não aparece nas fontes consultadas nenhuma exploração confirmada no ambiente real. Isso não prova que a exploração não ocorra.
- O registro não contém dados EPSS.
Correção e mitigação
- Nenhuma versão corrigida está listada no registro. A ausência de correção listada não significa que ela não exista. Acompanhe o projeto upstream e a página de CVE da Red Hat, citada entre as referências.
- Identifique todos os pontos em que o jsonpath 1.1.1 é usado, inclusive dependências transitivas em aplicações e ferramentas de build.
- Quando não houver atualização disponível, reduza a exposição limitando quais entradas chegam à função afetada e rejeitando chaves de objeto que visem protótipos.
- Teste qualquer atualização em ambiente de homologação antes da implantação em produção.
Orientações de detecção
- Inventarie manifestos de dependências e arquivos de lock para localizar o jsonpath na versão 1.1.1.
- Revise logs de aplicação em busca de chaves ou estruturas de objeto incomuns em dados processados por lógica baseada em jsonpath.
- Monitore comportamentos inesperados da aplicação que possam decorrer de protótipos de objetos alterados.
Limitações das informações disponíveis
- O registro não descreve as condições exatas nem o caminho de código necessários para acionar o problema.
- O registro não traz versão corrigida, pontuação EPSS nem dados SSVC.
- Constam duas pontuações CVSS com valores diferentes, e o registro não explica a diferença.
Perguntas frequentes
A CVE-2025-61140 está sendo explorada ativamente?
O registro indica que ela não está listada no KEV da CISA, e não aparece nas fontes consultadas nenhuma exploração confirmada. Isso não prova que a exploração não ocorra, por isso o monitoramento continua recomendado.
Qual versão é afetada e existe correção?
O registro lista o Dchester Jsonpath na versão 1.1.1 e nenhuma versão corrigida. A falta dessa informação não significa que não exista correção, então consulte o repositório upstream e os avisos do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.