English version →
ログイン 新規登録
JA · EN · FR
SecPulse
カテゴリ
CVE-2026-46377 medium CVSS 6.2

github.com/tomwright/dasel/v3 の脆弱性 (CVE-2026-46377)

概要

github.com/tomwright/dasel/v3 に 脆弱性 (CVE-2026-46377) が存在。不正な操作・情報露出のリスクがあります。dasel 経由で攻撃可能。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Summary

dasel's selector lexer panics with an index-out-of-range error when tokenizing a quoted string that ends with a trailing backslash (e.g., "\ or '\). A 2-byte input causes an immediate process crash via Go runtime panic.

I confirmed the issue on v3.3.1 (fba653c7f248aff10f2b89fca93929b64707dfc8) and on master commit 0dd6132e0c58edbd9b1a5f7ffd00dfab1e6085ad. I also verified the same code path is present in v3.0.0 (648f83baf070d9e00db8ff312febef857ec090a3). No fix is available yet.

Details

The bug is in the escape sequence handler within (*Tokenizer).parseCurRune in selector/lexer/tokenize.go#L191-L194:

if p.src[pos] == '\\' {
    pos++
    buf = append(buf, rune(p.src[pos]))  // line 193: no bounds check
    pos++
    continue
}

When a backslash is the last character inside quotes, pos++ increments the position past the end of the input. The subsequent p.src[pos] attempts to read past the end of the slice, which Go turns into a runtime panic: runtime error: index out of range [2] with length 2.

Notably, the same function already handles unterminated quoted strings by returning UnexpectedEOFError, but the escape sequence path does not perform a similar bounds check.

Minimal trigger: "\ or '\ (2 bytes)

Test environment:

  • MacBook Air (Apple M2), macOS / Darwin arm64
  • Go 1.26.1
  • dasel `v3…

出典: GitHub Security Advisories (Global) NVD GitHub Advisory

自動生成の要約

取得元のデータ (CVSS・CWE・影響バージョンなど) から SecPulse が定型文で組み立てた要約です。AI は使っていません。正確な内容は下の原文と参照URLで確認してください。

github.com/tomwright/dasel/v3 という製品で、CVE-2026-46377 という番号がついた弱点 (脆弱性) が見つかりました。
悪い人がインターネット越しに dasel のような特定の入り口を狙うことで、製品の中を不正に操作できてしまいます。
不正な操作・情報露出のリスクがあります。重要度は CVSS スコア 6.2/10 です。
対策: ベンダー公式の修正版に更新してください。
心配なら、システム担当者や製品の公式サイトで「github.com/tomwright/dasel/v3 CVE-2026-46377」を検索してください。

CVE-2026-46377 (github.com/tomwright/dasel/v3) — CWE-129 / CVSS v3 6.2
攻撃ベクター: ネットワーク経由 (リモート攻撃可) / 認証不要 / 被害者操作不要
脆弱箇所: dasel / fba653c7f248aff10f2b89fca93929b64707dfc8 / master / UnexpectedEOFError
対応方針: 1) SBOMで影響バージョン横断確認, 2) ステージング検証→本番更新, 3) WAF/プロキシで該当エンドポイントを監視, 4) ログでIOC調査。
参考: 当ページの『参照URL』の GHSA / vendor advisory / patched release を参照。

❓ 何が問題か

github.com/tomwright/dasel/v3 に 脆弱性 (CWE-129) があります。攻撃者は dasel を経由して脆弱な処理に到達し、認証なしで悪用できます。

📍 影響範囲

github.com/tomwright/dasel/v3 の影響バージョンはベンダーのアドバイザリで確認してください。攻撃箇所: dasel / fba653c7f248aff10f2b89fca93929b64707dfc8 / master / UnexpectedEOFError。

🔥 重要度

重要度: 中 (CVSS 6.2/10)。不正な操作・情報露出のリスクがあります。

🔧 修正方法

ベンダー公式アドバイザリの修正版に更新してください。

🛡️ 暫定回避

修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。

🔍 検知方法

Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

  1. 1
    影響範囲の特定 identify 
    grep -r 'github.com/tomwright/dasel/v3' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で github.com/tomwright/dasel/v3 を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    事後検証 verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

影響パッケージ

go github.com/tomwright/dasel/v3
[{"type":"SEMVER","events":[{"introduced":"3.0.0"},{"last_affected":"3.10.0"}]}]
Go github.com/tomwright/dasel
[{"type":"SEMVER","events":[{"introduced":"0"}]}]
Go github.com/tomwright/dasel/v2
[{"type":"SEMVER","events":[{"introduced":"0"}]}]

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく