PT-2026-41422 · Npm · Jsondiffpatch

Yuki Matsuhashi · Publicado 2026-05-16 · Atualizado 2026-05-17 · CVE-2026-8657

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas jsondiffpatch versões anteriores a 0.7.6

Descrição A Poluição de Protótipo (Prototype Pollution) ocorre quando nomes de propriedades e segmentos de caminho controlados por um invasor são usados para percorrer e modificar objetos sem restringir o acesso a propriedades especiais como proto ou constructor.prototype, permitindo a modificação do Object.prototype. Isso pode afetar o comportamento da aplicação em todo o processo Node.js. O problema é acionado através dos endpoints 'jsondiffpatch.patch()' e 'jsondiffpatch/formatters/jsonpatch.patch()' ao fornecer documentos delta ou JSON Patch manipulados.

Recomendações Atualize para a versão 0.7.6 ou posterior. Revise as aplicações que processam entradas de JSON Patch não confiáveis.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2026-8657

Produtos afetados

Jsondiffpatch

Referências · 14

• 🔥 https://gist.github.com/yuki-matsuhashi/e570fb1579ae1f3190059b622b0473fb · Exploit
• https://github.com/benjamine/jsondiffpatch/blob/96112c35a98f9201dd75d67fcee68a952c79e2fe/packages/jsondiffpatch/src/filters/nested.ts%23L82-L87 · Nota
• https://github.com/benjamine/jsondiffpatch/blob/96112c35a98f9201dd75d67fcee68a952c79e2fe/packages/jsondiffpatch/src/formatters/jsonpatch-apply.ts%23L146-L168 · Nota
• https://github.com/benjamine/jsondiffpatch/commit/381c0125efab49f6f0dbc08317d01d55717672af · Nota
• https://github.com/benjamine/jsondiffpatch/blob/96112c35a98f9201dd75d67fcee68a952c79e2fe/packages/jsondiffpatch/src/formatters/jsonpatch-apply.ts%23L171-L199 · Nota
• https://github.com/benjamine/jsondiffpatch/blob/96112c35a98f9201dd75d67fcee68a952c79e2fe/packages/jsondiffpatch/src/filters/nested.ts%23L107-L115 · Nota
• https://twitter.com/infoflowcloud/status/2055867631308058685 · Publicação no Twitter
• https://twitter.com/UpwindMDR/status/2055677036161622238 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-8657 · Nota de Segurança
• https://t.me/cveNotify/163741 · Publicação no Telegram
• https://security.snyk.io/vuln/SNYK-JS-JSONDIFFPATCH-16322990 · Nota
• https://twitter.com/CVEnew/status/2055866607675556020 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2055541544011051226 · Publicação no Twitter
• https://t.me/CVEtracker/53995 · Publicação no Telegram