Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Remediate cJSON vulnerabilities CVE-2026-67215 and CVE-2026-67216

Abierto
  • ¿Algo no está bien?
#1,073 1 comentario 1 reacción 0 asignados Ver en GitHub

Los mantenedores suelen responder en 12 días

@atharvmantri ya está trabajando en esto.

Desde el 14/9/2026.

  • #1078 de @atharvmantri — abierto

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
35/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Activo
Stack tecnológico
c
Área
security

Línea de trabajo

Comienza confirmando la versión upstream de cJSON o el parche del proveedor que corrige CVE-2026-67215 y CVE-2026-67216, centrándote en cJSONUtils_ApplyPatches(), cJSONUtils_ApplyPatchesCaseSensitive() y cJSON_Compare(). Reconstruye la imagen con la implementación corregida, añade cobertura de regresión para entradas JSON profundamente anidadas y adversariales, y verifica que un análisis de vulnerabilidades ya no informe de ninguno de los dos CVE.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Title

Remediate cJSON vulnerabilities CVE-2026-67215 and CVE-2026-67216

Description

The image includes cJSON with vulnerabilities that may allow denial-of-service attacks when processing attacker-controlled JSON input.

Affected CVEs:

  • CVE-2026-67215 — uncontrolled recursion leading to stack exhaustion.
  • CVE-2026-67216 — inefficient algorithmic complexity in cJSON_Compare, potentially causing excessive CPU consumption.

Impact

An attacker who can provide malicious JSON Patch documents or JSON objects may be able to:

  • Exhaust the application stack.
  • Cause excessive CPU consumption.
  • Crash or make the affected service unavailable.

The vulnerabilities are relevant when the application invokes:

  • cJSONUtils_ApplyPatches()
  • cJSONUtils_ApplyPatchesCaseSensitive()
  • cJSON_Compare()

Affected Version

  • cJSON versions through 1.7.19 are affected by CVE-2026-67215.
  • The affected cJSON implementation also includes the comparison logic associated with CVE-2026-67216.

Required Action

  • Upgrade to a vendor-confirmed cJSON version containing fixes for both CVEs.
  • If no patched release is available, apply the vendor patch when published.
  • As an interim mitigation, reject or limit deeply nested JSON Patch input.
  • Avoid invoking vulnerable comparison or patch-processing functions on untrusted input where possible.
  • Rebuild the image and run a vulnerability scan.

Acceptance Criteria

  • A cJSON version containing fixes for both CVEs is integrated.
  • CVE-2026-67215 and CVE-2026-67216 are no longer reported.
  • Deeply nested and adversarial JSON inputs are covered by regression tests.
  • The rebuilt image passes security scanning.

Fix Version

No confirmed upstream cJSON fix version was identified at the time of reporting. The target fix version is:

TBD — latest cJSON release containing fixes for CVE-2026-67215 and CVE-2026-67216
Lenguaje dominante
C
Estrellas
13k
Forks
3.5k
Sin PR fusionados en 30 d

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de DaveGamble/cJSON

Todos los issues de DaveGamble/cJSON

Issues similares

Más issues de C

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.