Arbitrary Code Execution in json-ptr

NGHIÊM TRỌNG 9.8CVE-2020-7766 · GHSA-x5r6-x823-9848 · Công bố 10/11/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-7766 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng json-ptr (json-ptr project), json-ptr.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.9%, cao hơn 79.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.0.0, 2.1.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
json-ptr json-ptr_project	`< 2.0.0`	`2.0.0`
json-ptr npm	`< 2.1.0`	`2.1.0`

Mô tả

npm json-ptr before 2.1.0 has an arbitrary code execution vulnerability. The issue occurs in the set operation when the force flag is set to true. The function recursively set the property in the target object, however it does not properly check the key being set, leading to a prototype pollution.

Mô tả của NVD

This affects all versions of package json-ptr. The issue occurs in the set operation (https://flitbit.github.io/json-ptr/classes/_src_pointer_.jsonpointer.htmlset) when the force flag is set to true. The function recursively set the property in the target object, however it does not properly check the key being set, leading to a prototype pollution.