| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| com.fasterxml.jackson.core:jackson-databind | ≥ 2.10.0, < 2.14.0 | 2.14.0 |
| jackson-databind | ≥ 2.10.0, < 2.14.0 | 2.14.0 |
Potential Denial-of-Service when attacker sends deeply nested JSON if (and only if) service:
JsonNode (ObjectMapper.readTree())JsonNode.toString()which can consume significant amount of resources with concurrent relatively small requests (1000 nested arrays is 2kB).
Fixed in 2.14.0 via https://github.com/FasterXML/jackson-databind/issues/3447.
Avoid serializing JsonNode using toString(): use ObjectMapper.writeValueAsString(node)
これらの製品をお使いですか?サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン