CVE-2026-1615: jsonpath (JavaScript): Injeção de Código Arbitrário na Avaliação de JSON Path

Visão geral

A CVE-2026-1615 é uma fraqueza de injeção de código (CWE-94) no pacote jsonpath para JavaScript. Segundo o registro, a biblioteca encaminha a entrada JSON Path ao módulo static-eval, que não foi projetado para lidar com dados não confiáveis de forma segura. A vulnerabilidade é descrita como afetando versões anteriores à 1.3.0. A correção upstream é referenciada no commit no GitHub.

Impacto

O registro descreve dois desfechos a partir de uma expressão JSON Path maliciosa: execução de JavaScript arbitrário, que leva a Execução Remota de Código em ambientes Node.js, e Cross-site Scripting em contextos de navegador. O vetor CVSS 3.1 informado é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, correspondente a um problema acessível pela rede, sem necessidade de privilégios ou interação do usuário. A Snyk também informa, no registro, uma pontuação CVSS 4.0 de 8,2.

Versões e produtos afetados

O registro descreve o pacote jsonpath como afetado nas versões anteriores à 1.3.0.
A descrição indica que todos os métodos que avaliam JSON Paths contra objetos são envolvidos, incluindo .query, .nodes, .paths, .value, .parent e .apply.
O registro não contém uma lista estruturada de versões afetadas, portanto a faixa exata deve ser confirmada no advisory da Snyk e nas referências do fornecedor.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto a exploração ativa não é confirmada por essa fonte. A probabilidade EPSS é 0,01166, com percentil 0,66494. Não há indicação de exploração confirmada nas fontes consultadas.

Correção e mitigação

Atualize o pacote jsonpath para a versão 1.3.0 ou posterior, que a descrição sugere ser a primeira versão não afetada.
Consulte o registro da Red Hat e os errata listados nas referências para atualizações de empacotamento downstream.
Até a conclusão da correção, evite repassar expressões JSON Path não confiáveis ou fornecidas por usuários a esta biblioteca, e valide ou restrinja essa entrada na fronteira da aplicação.
Refaça a varredura de dependências, incluindo pacotes transitivos, pois a biblioteca pode estar embutida em outros produtos.

Orientações de detecção

Faça o inventário de projetos e imagens de contêiner que contenham o pacote jsonpath e registre as versões instaladas, incluindo dependências transitivas.
Sinalize builds ou implantações com versão inferior à 1.3.0.
Monitore os logs da aplicação em busca de strings de consulta JSON Path incomuns ou inesperadas originadas de usuários externos.

Limitações das informações disponíveis

O registro não possui campos estruturados de versões afetadas ou corrigidas, de modo que a versão corrigida é inferida a partir da descrição e não está explicitamente confirmada. O status da fonte aparece como Deferred, e as pontuações CVSS vêm da Snyk e de um segundo provedor, sem uma avaliação específica do NVD no registro. Não são fornecidos detalhes de prova de conceito, e as condições exatas de exploração nos contextos de navegador e Node.js não são descritas em detalhe.

Perguntas frequentes

Quais versões do jsonpath são afetadas pela CVE-2026-1615?

O registro descreve as versões anteriores à 1.3.0 como vulneráveis. Não há uma lista estruturada de versões afetadas, então confirme nas referências do fornecedor e da Snyk.

A CVE-2026-1615 está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE no registro, e não há indicação de exploração confirmada nas fontes consultadas.

Qual é a ação recomendada?

Atualize o jsonpath para a versão 1.3.0 ou posterior, que a descrição sugere não ser afetada, e limite a entrada JSON Path não confiável até concluir a correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.