PT-2026-39144 · Lwjson · Lwjson

Dwilliams27 · Publicado 2026-05-08 · Atualizado 2026-05-10 · CVE-2026-29975

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas lwjson versão 1.8.1

Descrição Uma validação de entrada inadequada no analisador JSON de streaming (lwjson stream.c) ocorre porque a lógica de detecção de fim de string identifica incorretamente caracteres de aspas escapados. O sistema verifica apenas o caractere imediatamente anterior em vez de contar barras invertidas consecutivas, o que impede que strings JSON válidas terminadas com uma barra invertida escapada encerrem a análise. Um invasor remoto pode enviar um JSON bem formado para fazer com que aplicativos que utilizam a função lwjson stream parse() travem indefinidamente, resultando em negação de serviço.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Infinite Loop

Enumeração de Fraquezas

CWE-835

Identificadores relacionados

CVE-2026-29975

Produtos afetados

Lwjson

Referências · 5

• 🔥 https://gist.github.com/dwilliams27/b99fd41be5d6848691797042cbfc1103 · Exploit
• https://github.com/MaJerle/lwjson/blob/develop/lwjson/src/lwjson/lwjson_stream.c#L362-L364 · Nota
• https://github.com/MaJerle/lwjson/tree/develop · Nota
• https://twitter.com/CVEnew/status/2053559178606604583 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-29975 · Nota de Segurança