Skip to content
OpenAdvisories
High WID-SEC-2026-1469 4 CVEs

jq: Mehrere Schwachstellen

Published May 11, 2026 · Updated Sep 21, 2026 · Revision 13 · de-DE

Vendor: Debian Vendor: Meinberg Vendor: Red Hat Vendor: SUSE Product: Enterprise Linux Product: LANTIME Product: Linux Product: Linux Platform: Windows

Summary

Ein Angreifer kann mehrere Schwachstellen in jq ausnutzen, um einen Denial of Service Angriff durchzuführen, Daten zu manipulieren oder andere, nicht näher spezifizierte Auswirkungen zu erreichen.

Product

Open Source jq ist ein Kommandozeilen-JSON-Prozessor.

Vulnerabilities 4

  • Medium 6.4
    CVE-2026-41257

    jq: Signed-int overflow in `stack_reallocate` (jq VM stack)

    jq is a command-line JSON processor. In 1.8.1 and earlier, the jq bytecode VM's data stack tracks its allocation size in a signed int. When the stack grows beyond ≈1 GiB (via deeply nested generator forks), the doubling arithmetic overflows. The wrapped value…

    jqlang jq jq jq Debian Ubuntu Azure Linux Alpine
  • Medium 5.5
    CVE-2026-41256

    jq: Embedded NUL truncates top-level jq programs loaded with -f

    jq is a command-line JSON processor. In 1.8.1 and earlier, Top-level jq programs loaded from a file with -f are truncated at the first embedded NUL byte on current upstream HEAD. A crafted filter file such as . followed by \x00 and arbitrary suffix compiles a…

    jqlang jq jq jq Debian Ubuntu Azure Linux Alpine
  • Medium 5.4
    CVE-2026-40612

    jq: Stack overflow via unbounded recursion in jv_contains

    jq is a command-line JSON processor. In 1.8.1 and earlier, jv_contains recurses into nested arrays/objects with no depth limit. With a sufficiently nested input structure (built programmatically with reduce, since the JSON parser caps at depth 10000), the C s…

    jqlang jq jq jq Debian Ubuntu Azure Linux Alpine
  • Medium 5.4
    CVE-2026-44777

    jq: stack overflow in module loading on mutual `include`

    jq is a command-line JSON processor. In 1.8.2rc1 and earlier, the ordinary module loader recurses without cycle detection when two otherwise valid modules include each other.

    jqlang jq jq jq Debian Ubuntu Azure Linux Alpine

Revision history

  1. #13

    Neue Updates von SUSE aufgenommen

  2. #12

    Neue Updates von Debian aufgenommen

  3. #11

    Neue Updates von SUSE aufgenommen

  4. #10

    Neue Updates von Meinberg aufgenommen

  5. #9

    Neue Updates von SUSE aufgenommen

  6. #8

    Neue Updates von SUSE aufgenommen

  7. #7

    Neue Updates von SUSE aufgenommen

  8. #6

    Neue Updates von SUSE aufgenommen

  9. #5

    Neue Updates von SUSE aufgenommen

  10. #4

    Neue Updates von Debian aufgenommen

  11. #3

    Neue Updates von Red Hat aufgenommen

  12. #2

    Neue Updates von Debian aufgenommen

  13. #1

    Initiale Fassung

References