30秒で判断
- 対応すべき人: npm
jsonataを利用し、信頼できない入力を JSONata 式として評価しているアプリの開発者 - 対応不要な人: jsonata を使っていない、固定の式のみを評価している、修正版へ更新済みの環境
- 確認方法:
npm ls jsonata（またはpnpm why jsonata）でバージョンを確認
概要
JSON クエリ／変換ライブラリ jsonata（npm）に、細工された JSONata 式の評価を通じて任意コードが実行される脆弱性（GHSA-8gq3-vp5j-2grp、Critical、CWE-94）が公開されました。
ユーザー入力を JSONata 式としてそのまま評価する構成では、攻撃者が式を通じて サーバ上で任意コードを実行し得ます。関連する CVE-2026-77414 / CVE-2026-77415 も同系統の任意コード実行です。
本 Advisory は GHSA の深刻度ラベル Critical に基づきます。上記 CVSS 値は概略であり、正確なスコア・ベクトルは原文をご確認ください。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | None |
| Impact | 任意コード実行 |
| 深刻度 | Critical (GHSA) |
影響を受けるソフトウェア
| 製品 | 修正バージョン |
|---|---|
| jsonata (npm) | 1.8.8 / 2.2.1（本 CVE の 2.x 修正は 2.2.0） |
修正バージョンと回避策
- 修正バージョン:
jsonata1.8.8 以降、または 2.2.1 以降 npm install jsonata@latest（利用パッケージマネージャに応じて実行）で更新してください。- 信頼できない入力を式として評価しない設計・入力の制限も緩和策になります。
関連リンク
データソース: GitHub Advisory Database, NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。