漏洞总结 漏洞概述 漏洞名称: Integer overflow in and allows heap buffer overflow CVE ID: CVE-2026-3316 GHSA ID: GHSA-q3h9-m34w-h76f 严重程度: High (CVSS v3 base metrics: 8.2 / 10) 攻击向量: Network 攻击复杂度: Low 特权要求: None 用户交互: None 范围: Unchanged 机密性: Low 完整性: Low 可用性: High 影响范围 受影响版本: jq 1.8.1 修复版本: None (尚未发布) 影响描述: - 在 中的 函数存在整数溢出问题 - 当连接字符串的总长度超过 2^31 字节时,会导致堆缓冲区溢出 - 任何使用或评估不受信任 jq 查询的用户或系统都受影响 - 攻击者可以通过发送精心构造的 jq 查询轻易崩溃 jq 进程 - 如果系统使用固定 jq 查询(不多次连接输入字符串),攻击者需要发送一个巨大的 JSON 输入来使其崩溃 - 堆损坏可能允许进一步的利用,具体取决于分配器和环境 - 所有 1.8.1 及更早版本以及当前主版本都受影响 修复方案 修复状态: 该问题已由 @e4fe66d 修复 修复方式: 限制字符串的大小,使其长度不会溢出 POC 代码