Un parser JSON è un software che legge testo JSON e lo converte in strutture di dati o oggetti che un'applicazione può usare. In un servizio web, si colloca tra una richiesta in arrivo e la logica dell'applicazione, trasformando i byte sul filo in campi, array e tipi che il programma comprende.
Questo rende i parser sensibili alla sicurezza. Se elaborano input non attendibile, difetti nel parser o nel modo in cui l'applicazione lo usa possono portare a bug di deserializzazione, confusione di tipi, denial of service o persino esecuzione di codice remoto. Negli attacchi reali, gli avversari inviano JSON costruito ad hoc alle API, sperando che il parser accetti valori pericolosi o attivi una creazione di oggetti non sicura prima che il resto dell'applicazione possa convalidare la richiesta. I difensori riducono questo rischio mantenendo aggiornate le librerie del parser, limitando il binding automatico dei tipi, usando modalità di parser più sicure e trattando la gestione del JSON come parte del confine di fiducia.