PT-2026-48883 · Unknown · Jmespath.Php

Edorian · Publicado 2026-06-12 · Atualizado 2026-06-13 · CVE-2026-54133

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas jmespath.php versões anteriores a 2.9.1

Description A escape insuficiente de nomes de funções JMESPath analisados no código-fonte PHP gerado permite a geração e execução de código PHP controlado por um invasor. Isso ocorre quando o JmesPathCompilerRuntime é utilizado com uma expressão JMESPath manipulada, fazendo com que o arquivo de cache gerado contenha código executável que é posteriormente carregado pelo runtime do compilador.

Recommendations Atualize para a versão 2.9.1 ou posterior. Desative JP PHP COMPILE como uma solução temporária. Evite usar JmesPathCompilerRuntime com expressões controladas por invasores e utilize o AstRuntime padrão para expressões não confiáveis.

Exploit

Correção

RCE

Code Injection

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-94

CWE-20

CWE-116

Identificadores relacionados

CVE-2026-54133

Produtos afetados

Jmespath.Php

Referências · 5

• 🔥 https://github.com/jmespath/jmespath.php/security/advisories/GHSA-pcw8-m77r-2528 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2026-54133 · Nota de Segurança
• https://twitter.com/DFIR_Lab/status/2065606449221308576 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2065470907942846691 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2065461484126081294 · Publicação no Twitter