JSONPath

（另请参阅 开发依赖的许可证） JSONPath Plus 分析、转换并从 JSON 文档（以及 JavaScript 对象）中选择性地提取数据。 jsonpath-plus 在原始规范的基础上进行了扩展，新增了一些额外的运算符，并明确了原始规范未明确说明的一些行为。 试试浏览器演示或 Runkit Node。 请注意：本项目目前没有积极维护。我们可能会接受有良好文档的 PR 或一些简单的更新，但不打算自行修复问题或添加新功能。 功能 符合 原始 jsonpath 规范 原始规范未提供的便捷添加或补充 ： ^ 用于获取匹配项的父级 用于获取匹配项的属性名 （以数组形式） 类型选择器...

cve-2024-21534

POC - CVE-2024-21534 Jsonpath-plus 因输入清理不当而容易受到远程代码执行（RCE）攻击 概述 CVE-2024-21534 是 jsonpath-plus 包 10.0.0 之前版本中的一个严重漏洞。该漏洞源于不当的输入清理，可能导致受影响系统上的远程代码执行（RCE）。此漏洞尤其危险，因为它可以在无需认证的情况下被利用，攻击者可通过发送特制输入在服务器上执行任意代码。该问题源于 Node.js vm 模块的不安全默认用法，一旦被利用，可能会危及整个系统。 受影响版本 jsonpath-plus 版本低于 10.2.0 受影响组件 该漏洞位于...

CVE-2025-1302_jsonpath-plus_RCE

CVE-2025-1302 JSONPath-Plus RCE PoC PoC脚本名称： poc.py 这是一个针对CVE-2025-1302的概念验证漏洞利用脚本，该漏洞影响jsonpath-plus库中的RCE漏洞。当对存在漏洞的服务端点运行时，该脚本尝试通过JSONPath负载触发远程代码执行，并建立反向Shell连接到攻击者。 功能特性 灵活的HTTP方法 ：通过 --method 或 --no-fallback 标志支持 POST 、GET 或 AUTO （POST 并回退到 GET）。 自定义负载 ：从文件中加载一个或多个 JSONPath RCE 负载模板，支持 ip 和...

CVE-2025-1302

CVE-2025-1302 ★ CVE-2025-1302 JSONPath-plus RCE PoC ★ https://github.com/user-attachments/assets/5d791540-ef6c-4cd0-bd25-7a1dbbd194fb 实验环境搭建 root@kitploit: docker build -t jsonpath:10.2.0 . docker run --rm --name jsonpath -p 3000:3000 jsonpath:10.2.0 localhost:3000 描述 版本低于 10.3.0 的 jsonpath-plus...

JSONPath Plus < 10.3.0 - Remote Code Execution

Versions of the package jsonpath-plus before 10.3.0 are vulnerable to Remote Code Execution RCE due to improper input sanitization. An attacker can execute aribitrary code on the system by exploiting the unsafe default usage of eval='safe' mode. Note: This is caused by an incomplete fix for...

CVE-2024-21534

CVE-2024-21534：jsonpath-plus（=10.0.7）中的远程代码执行漏洞 摘要 本仓库包含针对 jsonpath-plus 包中一个严重远程代码执行（RCE）漏洞的概念验证（PoC）利用程序，影响 10.0.7 之前的版本。该问题源于不正确的输入清理，攻击者可利用 Node VM 模块中的不安全默认值执行任意代码。该漏洞于 2024-10-11 发布，CVSS 评分为 9.8（严重）。 注意： 尽管在版本 10.0.0中尝试缓解了此漏洞，但在问题 226中讨论的某些载荷变体下，该缺陷仍然可以被利用。 描述 由于 Node.js 中 VM...

CVE-2024-21534-poc

漏洞: CVE-2024-21534 严重性: 严重 CVSS 评分: 9.8 描述: jsonpath-plus 包（版本 = 10.0.7）存在一个远程代码执行 RCE 漏洞，攻击者能够通过 Node.js 的 VM 模块执行任意代码。此漏洞由输入验证不足导致，影响 10.0.7 及以下版本。 影响: 成功利用此漏洞可能导致受影响的系统完全沦陷。 缓解措施: 1. 升级jsonpath-plus： 更新至 10.0.8 或更高版本。 2. 输入验证： 对 JSONPath 表达式实施严格的输入验证，防止恶意输入。 3. VM 模块使用： 尽量减少 VM 模块的使用，并严格控制其执行环...

ROOT-APP-NPM-CVE-2025-1302 CVE-2025-1302 in jsonpath-plus - Patched by Root

Root has patched CVE-2025-1302 in the jsonpath-plus package for Root:npm. Multiple fixed versions available...

ROOT-APP-NPM-CVE-2024-21534 CVE-2024-21534 in jsonpath-plus - Patched by Root

Root has patched CVE-2024-21534 in the jsonpath-plus package for Root:npm. Multiple fixed versions available...

CLSA-2026-1780966310 TuxCare security update for jsonpath-plus (2 CVEs)

TuxCare rebuilt jsonpath-plus to address 2 CVEs. Fixed in 5.1.0-tuxcare.1...

CLSA-2026-1780966312 TuxCare security update for jsonpath-plus (2 CVEs)

TuxCare rebuilt jsonpath-plus to address 2 CVEs. Fixed in 6.0.1-tuxcare.1...

CLSA-2026-1774657375 TuxCare security update for jsonpath-plus (1 CVE)

TuxCare rebuilt jsonpath-plus to address 1 CVE. Fixed in 7.2.0-tuxcare.2...

CLSA-2026-1774657371 TuxCare security update for jsonpath-plus (2 CVEs)

TuxCare rebuilt jsonpath-plus to address 2 CVEs. Fixed in 7.2.0-tuxcare.1...

Exploit for CVE-2025-1302

Research: jsonpath-plus RCE CVE-2025-1302 Analysis !Securi...

📄 JSONPath Plus Remote Code Execution

This Metasploit module exploits a remote code execution vulnerability in JSONPath Plus library versions prior to 10.3.0 The vulnerability allows arbitrary JavaScript code execution through malicious JSONPath expressions...

VulnCheck KEV: CVE-2025-1302

Versions of the package jsonpath-plus before 10.3.0 are vulnerable to Remote Code Execution RCE due to improper input sanitization. An attacker can execute aribitrary code on the system by exploiting the unsafe default usage of eval='safe' mode. Note: This is caused by an incomplete fix for...

Security Bulletin: IBM watsonx Orchestrate Cartridge affected by vulnerability in jsonpath-plus-10.2.0.tgz

Summary IBM watsonx Orchestrate Cartridge contains a vulnerable version of jsonpath-plus-10.2.0.tgz Vulnerability Details CVEID:CVE-2025-1302 DESCRIPTION: Versions of the package jsonpath-plus before 10.3.0 are vulnerable to Remote Code Execution RCE due to improper input sanitization. An attacke...

Exploit for CVE-2025-1302

CVE-2025-1302 JSONPath-Plus RCE PoC PoC Script Name: po...

Security Bulletin: IBM watsonx Orchestrate Cartridge affected by vulnerability in jsonpath-plus-0.19.0.tgz

Summary IBM watsonx Orchestrate Cartridge contains a vulnerable version of jsonpath-plus-0.19.0.tgz Vulnerability Details CVEID:CVE-2024-21534 DESCRIPTION: All versions of the package jsonpath-plus are vulnerable to Remote Code Execution RCE due to improper input sanitization. An attacker can...

Security Bulletin: IBM App Connect Enterprise is vulnerable to Remote Code Execution and improper preservation of permissions due to jsonpath-plus & snowflake-sdk (CVE-2025-1302 & CVE-2025-24791)

Summary IBM App Connect Enterprise runtime, IBM App Connect Enterprise Discovery Connectors and IBM App Connect Enterprise Connector Discovery and OpenAPI Editor are vulnerable to Remote Code Execution RCE and improper preservation of permissions due to jsonpath-plus & snowflake-sdk. Vulnerabilit...