CVE-2026-113602
Publiée le 2026-10-20 · Dernière modification le 2026-10-20
Les versions 2.6.0 et antérieures de json-smart sont des bibliothèques utilisées pour analyser des données JSON. La faille réside dans un contournement de la validation des entrées, où l'analyseur ne gère pas correctement un caractère spécifique (0x1A). En insérant ce caractère, un attaquant peut tromper la validation du « mode strict » pour qu'elle ignore des données malformées à la fin du message qui devraient normalement être rejetées.
Un attaquant peut utiliser cela pour créer un « différentiel d'analyse » (parser differential), dans lequel json-smart accepte une charge utile qu'un analyseur secondaire (comme Jackson ou Gson) interprète différemment. Cela peut entraîner une perte d'intégrité des données si l'application s'appuie sur le premier contrôle pour la validation de la sécurité. L'attaque est relativement facile à exécuter, car elle ne nécessite qu'un accès réseau, sans authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
json-smart through 2.6.0 contains an input validation bypass vulnerability that allows attackers to evade strict-mode trailing-data checks by inserting a literal 0x1A character. Attackers can append 0x1A and malformed content to pass JSONValue.parseStrict or isValidJsonStrict validation, creating parser differentials with downstream parsers like Jackson or Gson.