CVE-2026-32285 CVSS 7.5 高危

CVE-2026-32285 jsonparser拒绝服务漏洞

披露日期: 2026-03-26

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-32285

漏洞类型

拒绝服务

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

buger/jsonparser

漏洞概述

该漏洞存在于 jsonparser 库的 Delete 函数中。由于对畸形 JSON 输入的偏移量验证不足，攻击者可诱导产生负切片索引，进而引发运行时 panic。此漏洞无需认证且无用户交互，攻击者可远程利用，导致目标服务拒绝服务，严重影响了系统的可用性与稳定性。

技术细节

漏洞根源在于 jsonparser 库在执行 JSON 数据删除操作时的逻辑缺陷。Delete 函数在解析特定路径并计算字节切片偏移量时，未对输入参数的边界条件进行严格校验。当接收到经过精心构造的畸形 JSON 数据时，函数内部的偏移量计算算法可能得出负值。在 Go 语言的切片操作机制中，使用这种负索引会导致不可预期的内存访问或直接触发“runtime error: slice bounds out of range”的 panic 异常。鉴于 jsonparser 常被用于高性能 Web 服务或数据处理场景，且该漏洞利用无需任何权限认证及用户交互，攻击者可通过网络接口轻易发送恶意数据包。一旦触发，服务进程将立即崩溃并终止，导致正常的业务处理中断，从而实现高效的拒绝服务攻击，严重影响业务连续性。

攻击链分析

STEP 1

侦察

攻击者识别目标系统使用了存在漏洞的 jsonparser Go 库。

STEP 2

构造

攻击者编写特定的畸形 JSON 数据包，该数据包在经过 Delete 函数处理时会导致偏移量计算为负数。

STEP 3

交付

攻击者通过网络向目标服务接口发送包含恶意 JSON 数据的请求。

STEP 4

利用

目标服务调用 jsonparser.Delete 函数处理恶意数据，触发负切片索引错误。

STEP 5

影响

Go 运行时检测到非法切片访问，引发 panic 并导致服务进程崩溃，造成拒绝服务。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

package main

import (
	"fmt"
	"github.com/buger/jsonparser"
)

func main() {
	// Proof of Concept for CVE-2026-32285
	// Attempting to trigger a negative slice index in the Delete function.
	
	// Crafted malformed JSON input that causes offset miscalculation
	// The specific structure depends on the internal logic of the vulnerable version
	malformedJSON := []byte(`{"key":"value"}`)
	
	// Calling Delete with a path that triggers the negative offset calculation
	// In the vulnerable version, this leads to a panic: runtime error: slice bounds out of range
	_, _, _, err := jsonparser.Delete(malformedJSON, "key", "nested")
	
	if err != nil {
		fmt.Println("Exploit triggered error (expected in patched version):", err)
	} else {
		fmt.Println("Payload processed (vulnerable behavior might have occurred)")
	}
}

影响范围

buger/jsonparser (修复前版本)

防御指南

临时缓解措施

建议开发者尽快检查项目依赖，将 jsonparser 库更新到修复了 CVE-2026-32285 的版本。若无法立即升级，应在调用 Delete 函数前增加对 JSON 数据结构的预检查，过滤可能导致异常的畸形输入，并在应用层增加 Recover 机制以兜底 panic 风险。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表