Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

CVE-2026-54696 (Low) detected in json-2.12.2.gem

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#291 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
68/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
ruby
Lĩnh vực
security

Hướng nghiên cứu

Bắt đầu với Gemfile.lock và dependency vendored tại vendor/cache/json-2.12.2.gem, sau đó kiểm tra cách repository này quản lý việc nâng cấp Ruby gem. Cập nhật json lên phiên bản cố định được nêu là 2.19.9, làm mới lockfile và package vendored khi cần, rồi chạy test suite của repository để xác nhận thay đổi dependency không có vấn đề.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Mend: dependency security vulnerability

CVE-2026-54696 - Low Severity Vulnerability

Vulnerable Library - json-2.12.2.gem

This is a JSON implementation as a Ruby extension in C.

Library home page: https://rubygems.org/gems/json-2.12.2.gem

Path to dependency file: /Gemfile.lock

Path to vulnerable library: /vendor/cache/json-2.12.2.gem

Dependency Hierarchy:

  • rubocop-1.76.1.gem (Root Library)
    • ❌ json-2.12.2.gem (Vulnerable Library)

Found in base branch: master

Vulnerability Details

Ruby JSON is a JSON implementation for Ruby. Versions 2.9.0 through 2.19.8 are vulnerable to heap buffer overflow when the JSON generator is provided with an oversized streamed object. When streaming to an IO JSON.dump(obj, io) and JSON::State#generate(obj, io) can write past the internal JSON generator buffer when a streamed object contains an
attacker-controlled string near 16 KB. Exploitation would result in a reliable process crash/denial of service. This issue has been fixed in version 2.19.9.

Publish Date: 2026-06-30

URL: CVE-2026-54696

CVSS 3 Score Details (3.7)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Network
    • Attack Complexity: High
    • Privileges Required: None
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: None
    • Integrity Impact: None
    • Availability Impact: Low

For more information on CVSS3 Scores, click here.

Suggested Fix

Type: Upgrade version

Origin: https://github.com/ruby/json/security/advisories/GHSA-x2f5-4prf-w687

Release Date: 2026-06-30

Fix Resolution: json - 2.19.9

Step up your Open Source Security Game with Mend here

Ngôn ngữ chính
Ruby
Star
30
Fork
27
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của ManageIQ/linux_admin

Tất cả issue của ManageIQ/linux_admin

Issue tương tự

Thêm issue về Ruby

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.