Tóm tắt nhanh
- CVE-2026-50193 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng com.fasterxml.jackson.core:jackson-databind, jackson-databind (fasterxml).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.62%, cao hơn 49.5% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2.14.0 hoặc mới hơn.
Mô tả
Impact
Potential Denial-of-Service when attacker sends deeply nested JSON if (and only if) service:
- Reads deeply nested (1000s of levels) JSON as
JsonNode (ObjectMapper.readTree())
- Writes out same (or modifided) node using
JsonNode.toString()
which can consume significant amount of resources with concurrent relatively small requests (1000 nested arrays is 2kB).
Patches
Fixed in 2.14.0 via https://github.com/FasterXML/jackson-databind/issues/3447.
Workarounds
Avoid serializing JsonNode using toString(): use ObjectMapper.writeValueAsString(node)
Mô tả của NVD
jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.13.0 until 2.14.0, a potential Denial-of-Service exists when attacker sends deeply nested JSON if (and only if) the service reads deeply nested (1000s of levels) JSON as JsonNode (ObjectMapper.readTree()) and writes out same (or modifided) node using JsonNode.toString(). This can consume significant amount of resources with concurrent relatively small requests (1000 nested arrays is 2kB). This vulnerability is fixed in 2.14.0.
Lỗ hổng khác của com.fasterxml.jackson.core:jackson-databind
Xem tất cả →Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí